La Cour décompte

La Cour des comptes vient de publier un rapport sur l’usage des outils bureautiques et collaboratifs au sein de l’État. Les constats y sont nombreux et pour la plupart négatifs. La Cour préconise donc un plan homogène de modernisation avec un passage plus poussé au libre. Des recommandations accueillies « favorablement » par le Premier ministre.

La Cour des comptes a publié le 20 octobre trois documents liés : un rapport complet sur les outils bureautiques et collaboratifs au sein de l’État, sa synthèse et la réponse du Premier ministre. Ce rapport fait suite à une enquête, qui répondait elle-même à une saisine citoyenne.

Le rapport couvre les administrations centrales et les services déconcentrés des ministères. Même si les opérateurs, la Sécurité sociale, les hôpitaux et les collectivités en sont exclus, le parc ainsi analysé compte tout de même 860 000 postes. Quatre ministères concentrent près de 90 % de ce nombre imposant : Intérieur (34 %), Armées (23 %), Économie et finances (18 %), Justice (11 %).

La Cour des comptes s’est donné la mission de répondre essentiellement à deux questions : Comment les outils bureautiques et collaboratifs sont utilisés ? Peut-on faire mieux ?

Un parc très hétérogène

Cela ne surprendra personne, mais le premier constat est que les différents parcs informatiques sont très hétérogènes. La doctrine qui a toujours prévalu jusqu’à récemment est que les ministères sont libres de leurs choix. D’un côté, cela permet une adaptation simple aux spécificités et donc aux besoins de chacun. De l’autre côté, chacun fait à sa manière, avec les fortes disparités qui en découlent.

Malgré cette grande hétérogénéité, la suite Office de Microsoft est utilisée presque partout. Deux grandes exceptions sont signalées : la direction générale de la gendarmerie nationale (DGGN) et la direction générale des finances publiques (DGFiP), qui recourent massivement aux solutions libres. Dans le cas de la gendarmerie, même le système d’exploitation a été remplacé il y a longtemps (Gendbuntu), mais elle garde environ 2 500 postes avec Office. La Cour note également que quelle que soit la configuration choisie, le taux général de satisfaction est à peu près le même partout.

Cependant, le cadre a changé. « Face aux enjeux renouvelés de coordination et de souveraineté numérique, l’État a cherché à rationaliser les pratiques en place par des directives plus contraignantes, parmi lesquelles l’interdiction en 2021 du recours à la solution Microsoft 365, l’encadrement à partir de 2023 des outils de visioconférence et des messageries instantanées ou, en 2025 et 2026, le contrôle des achats numériques », indique ainsi la Cour des comptes.

La DINUM épinglée pour suivi peu rigoureux

Signe des temps, le rapport note l’utilisation croissante dans les ministères des outils rassemblés dans La Suite, développée par la DINUM. Si la Cour des comptes loue la création d’outils sur la base de logiciels libres respectant les exigences de souveraineté et d’interopérabilité, elle égratigne le recours aux startups d’État, modèle justement retenu par la DINUM, car il est souple et permet un financement rapide. En revanche, « il n’est pas adapté à l’édition logicielle professionnelle, qui suppose une vision du produit sur plusieurs années, une feuille de route technique robuste et un haut niveau de support, documentation et maintenance ».

• Simplification, sécurisation, souveraineté : la DINUM affirme son rôle de chef d’orchestre

La Cour se montre globalement critique face à la DINUM. La Direction n’a ainsi « pas fourni à la Cour de tableau de bord permettant un suivi précis des prestations réalisées, par module ou par intervenant ». Le seul suivi communiqué est comptable et qualifié de « parfois approximatif ». « Ce n’est pas du niveau attendu pour des solutions numériques ayant vocation à être opérées dans l’ensemble des administrations de l’État », fustige la Cour, qui épinglait déjà ce manque de rigueur en 2024. Selon le rapport, la DINUM a convenu de la nécessité de renforcer son suivi.

La DINUM en prend pour son grade sur un autre sujet. Elle est accusée de développer elle-même des logiciels, plutôt que de faire vivre l’écosystème d’entreprises françaises du libre. Interrogé dans le cadre de l’enquête, le CNLL (qui représente une partie des éditeurs de logiciels libres en France) a cité l’entreprise publique allemande ZenDiS comme référence, car elle assemble des briques libres en sous-traitant à sept entreprises pour produire openDesk. Là encore, le constat était sensiblement le même en 2024.

Malgré les critiques, le rapport estime que les résultats de La Suite sont « probants ». Tchap compte ainsi 368 000 utilisateurs actifs fin 2025 et ProConnect 930 000 connexions mensuelles. Cependant, La Suite a des limites connues et ne peut pas remplacer une suite bureautique, notamment car elle n’a ni tableur, ni outil de présentation, ni agenda. En outre, elle ne fonctionne qu’en ligne, la Messagerie n’est pas déployable à grande échelle à court terme et Docs assure surtout de la prise de notes collaborative.

Un coût en forte progression mais qui reste limité

La Cour relève une facture générale d’environ 100 millions d’euros pour l’année 2025 sur l’ensemble du parc analysé. Ce chiffre est en forte augmentation, avec + 50 % depuis 2021, contre + 16 % pour les dépenses de fonctionnement de l’État. Cependant, le même chiffre reste contenu, car il représente moins de 2 % du budget numérique total, estimé à 5,5 milliards d’euros.

Le coût moyen est de 87 euros par poste et par an, mais avec des écarts extrêmes : 20 euros à l’Intérieur et 378 euros à la Culture. Ce montant tient à de multiples facteurs, dont l’un des plus importants est l’utilisation de Microsoft 365. Contrairement à la suite Office, Microsoft 365 est un abonnement donnant accès à plus ou moins d’outils et d’espace de stockage selon le niveau choisi. Or, même si Microsoft 365 est interdit, certains ministères disposent d’une dérogation, dont la Culture.

Cette facture de 100 millions fait pourtant grincer la Cour, car il n’est pas issu d’un chiffrage précis : « Ce montant a été reconstitué par la Cour, qui a constaté que dans plusieurs ministères le suivi était lacunaire aussi bien pour ces dépenses – du fait d’une comptabilité analytique défaillante – que pour le parc informatique lui-même ».

Toujours sur cette année 2025, 61 millions d’euros étaient consacrés aux licences logicielles bureautiques et collaboratives, dont les quatre cinquièmes pour Microsoft, « sans compter les autres logiciels tels que le système d’exploitation Windows ». Le rapport liste également 26 millions d’euros pour les prestations et 13 millions alloués à la masse salariale des postes de maintenance et de support sur ces outils.

Quant à La Suite, son coût total depuis 2021 est d’environ 40 millions d’euros, en augmentation moyenne de 40 % par an. Cependant, et encore une fois, les « investigations menées à l’occasion de cette enquête montrent également que le suivi administratif et financier par la DINUM des prestations réalisées par les freelances aurait dû être plus rigoureux pour s’assurer de la juste adéquation entre les ressources allouées et les travaux réalisés ».

Il faut accentuer le passage au libre

Bien que la Direction interministérielle soit copieusement critiquée, ses développements ont quand même de quoi satisfaire et « suivent une trajectoire solide », note la Cour des comptes.

Le rapport insiste sur la nécessité de développer l’usage des logiciels libres, car ils sont « un gage d’indépendance des administrations publiques » et « économiquement plus vertueux ». En se basant sur les données recueillies, la Cour chiffre entre 30 et 65 millions d’euros les économies qui seraient réalisées dans l’ensemble des ministères par l’utilisation « plus systématique de logiciels libres bureautiques on-premises », c’est-à-dire sur site.

La Cour indique que les ministères souhaitent en majorité continuer à utiliser Office. Ils envisagent même de migrer sur les infrastructures de Bleu « lorsque les logiciels de Microsoft pourront y être exploités sous la qualification souveraine SecNumCloud ». Cependant, pour les mêmes motifs que précédemment, « il conviendrait plutôt de travailler à ce qu’une solution bureautique libre en mode cloud (interne à l’État ou qualifié SecNumCloud) puisse être proposée en alternative et devienne, à terme, la norme au sein des administrations de l’État ».

• SecNumCloud : Bleu vise désormais une qualification pour la fin d’année

Quatre recommandations, accueillies favorablement

Le rapport de la Cour des comptes se termine par quatre recommandations, qui devraient toutes êtes engagées dès 2027 :

1. Associer plus fortement les ministères à la conception de la feuille de route de La Suite ainsi qu’à sa gouvernance ;
2. Intégrer les outils collaboratifs et bureautiques dans le périmètre de gouvernance de la DINUM ;
3. Faire évoluer le modèle de développement de la Suite pour mieux s’appuyer sur des entreprises disposant d’une expertise en matière de logiciels libres ;
4. Engager la convergence vers « des outils en mode cloud » et prévoir un plan de migration, « sur trois à quatre années au maximum », pour orienter les stratégies numériques des ministères et de leurs opérateurs.

Ces quatre recommandations ont été accueillies favorablement par le Premier ministre, Sébastien Lecornu. Dans sa réponse, celui-ci indique d’ailleurs que la création d’ARIANE (Autorité référente pour l’intelligence artificielle et le numérique de l’État) au 1ᵉʳ janvier 2027 permettra d’accélérer les travaux, puisqu’elle aura « notamment vocation à renforcer la cohérence des choix technologiques de l’État ».

• Dix ans après la loi République numérique, « encourager » le logiciel libre n’a pas suffi

Alors que les élections de midterms approchent aux États-Unis (3 novembre), l’IA fait partie des sujets les plus importants dans la campagne électorale. L’installation des datacenters IA est notamment devenue un boulet électoral pour les républicains.

Jusque-là, Donald Trump faisait la sourde oreille et soutenait l’industrie de l’IA. Il a encore récemment enterré toute régulation de l’IA, misant sur la « responsabilité » des acteurs.

Le dirigeant états-unien a réagi ce mercredi 21 octobre à l’impopularité croissante de l’installation des datacenters IA. Il affirmé sur Truth Social  : « J’ai imposé aux nouveaux centres de données, de grande taille, voire gigantesques dans certains cas, de produire leur propre électricité et de céder ou de vendre tout excédent à la communauté locale ou au réseau électrique, ce qui entraîne une hausse du prix de l’électricité ».

Mais la réaction du leader du parti Républicain arrive bien tard. En effet, un nouveau sondage de l’Institut Ipsos pour le Washington Post et ABC News auprès de 2 545 Américains montre que 57 % d’entre eux pensent que l’IA est une mauvaise chose pour la société alors que 50 % pensent qu’elle est une bonne chose pour eux, personnellement.

Deux tiers des sondés estiment que le gouvernement fédéral des États-Unis ne régule pas assez l’IA alors qu’ils ne sont que 9 % à penser qu’il régule trop cette technologie.

Si l’industrie insiste régulièrement sur de supposés risques d’extinction des humains dus à l’intelligence artificielle, les sondés sont plus inquiets du piratage de la sécurité des systèmes informatiques, des capacités des utilisateurs à prendre leurs propres décisions et de la suppression des emplois et de la montée des inégalités économiques :

Quand on leur demande en quoi l’IA peut apporter de bonnes choses, les Américains interrogés citent d’abord à 34 % le fait qu’elle pourrait avoir de grandes chances de faciliter les tâches du quotidien plus facilement et accentuer la domination de leur pays dans le domaine. Ils ne sont que 20 % à penser qu’il y a de grandes chances qu’elle permette aux personnes d’être plus productives. De même, peu d’entre eux (13 %) pensent qu’il est fortement possible que l’IA permette la création de nombreux emplois :

Brèche dans la prison dorée d'Apple

La justice australienne force la main à Apple, qui devra ouvrir l’écosystème iOS aux boutiques alternatives, au sideloading et aux services de paiement tiers.

Après l’Union européenne (via le DMA), le Japon ou encore le Brésil, l’Australie rejoint donc la cohorte de pays exigeant d’Apple l’ouverture d’iOS à la concurrence. Un nouveau coup dur pour le business de l’App Store, dont le modèle s’effrite en raison des régulateurs et de la justice.

• L’App Store rapporte toujours gros, mais le modèle d’Apple se fissure

Boutiques alternatives et paiements tiers imposés à Apple

Suite à une action en justice engagée par Epic Games en 2020, un tribunal australien avait constaté les infractions en août 2025 : le juge estimait alors que le constructeur de Cupertino avait usé de pratiques anticoncurrentielles. En abusant de sa position sur le marché des apps iOS, Apple a bloqué d’autres canaux de distribution ainsi que des services de paiement alternatifs au sien (qui lui permet de prélever une dîme de 15 à 30 % sur les transactions).

Suite à cette décision, il fallait encore décider des mesures à appliquer. C’est chose faite depuis ce jeudi 22 octobre par une cour fédérale. Celle-ci exige d’Apple la possibilité d’installer des applications sur un iPhone sans passer par l’App Store. L’entreprise doit autoriser les téléchargements directs (sideloading) et les boutiques alternatives, les utilisateurs devant bénéficier par ailleurs des outils nécessaires pour installer et mettre à jour les apps.

Un système de notarisation devra également être mis en place (par Apple ou un tiers qualifié) pour vérifier la sécurité et la confidentialité des apps distribuées par des moyens alternatifs. Il s’agira d’une vérification technique, pas d’un moyen détourné de contrôler ces applications. Apple va aussi devoir faire une place aux systèmes de paiement concurrents, et les développeurs pourront intégrer dans leurs applications des liens vers des achats externes.

L’entreprise ne pourra pas facturer de frais sur les achats de contenus numériques effectués avec des moyens de paiement tiers pour les apps distribuées en dehors de l’App Store. Pour celles présentes dans la boutique officielle, les frais sur ces achats ne pourront pas dépasser ceux appliqués aux achats de biens ou services physiques avec un paiement tiers, augmentés des seuls coûts supplémentaires réellement et raisonnablement supportés par Apple pour les achats numériques. La décision ne fixe aucun pourcentage.

Des garde-fous pour empêcher Apple de verrouiller l’ouverture

Le texte de la cour contient aussi des ordonnances empêchant Apple de complexifier inutilement la mise en œuvre de ces solutions alternatives – les déclinaisons byzantines des dispositifs de conformité au DMA du groupe américain ont servi d’exemples à ne pas suivre.

Apple ne pourra pas facturer l’accès aux boutiques alternatives ou leur utilisation. Aucun frais ne pourra être imposé pour les outils indispensables à la distribution des apps, ni de conditions décourageant cette distribution. Les frais sur les paiements alternatifs sont également strictement limités.

Dans le même esprit, Apple a l’interdiction d’obliger un développeur à proposer le système de paiement de l’App Store en plus du sien, elle ne peut pas empêcher un développeur de vendre moins cher ailleurs, ou de le pénaliser parce qu’il utilise une boutique ou un paiement concurrent. Aucun rapport d’activité ou d’audit sur les transactions réalisées avec un moyen de paiement alternatif ne peut être réclamé par l’entreprise.

Enfin, Apple ne peut pas abuser des « scare screens » avant l’installation d’une boutique alternative. Il s’agit de ces panneaux prévenant l’utilisateur des risques supposés que représente une boutique tierce.

L’entrée en vigueur de ces mesures est fixée au 1er mars 2027. Apple a la possibilité de demander un report jusqu’au 3 mai, si le tribunal l’autorise. Le groupe a néanmoins annoncé son intention de contester la décision de la cour fédérale. « Nous demanderons une suspension de l’exécution de la décision et ferons appel afin d’obtenir une solution qui respecte notre propriété intellectuelle et préserve l’expérience sûre et sécurisée que les consommateurs et les développeurs attendent de l’App Store », a déclaré un porte-parole d’Apple à Reuters.

Sans attendre, Epic a annoncé le retour de Fortnite dans l’App Store australien dès ce jeudi.

L’ancienne ministre de la Transition écologique, Agnès Pannier-Runacher, a été la cible d’une attaque via un logiciel espion.

Politico a appris que l’actuelle députée Renaissance du Pas-de-Calais a déposé plainte fin septembre auprès de la DGSI après avoir reçu une alerte sur son iPhone.

Apple lui a en effet envoyé une notification le 13 août que nos confrères ont pu consulter. Celle-ci indiquait que l’appareil avait été ciblé par un « logiciel mercenaire ». La députée aurait déjà reçu des alertes similaires en mars et avril 2025 lorsqu’elle était encore ministre.

« À chaque fois, ce sont mes appareils personnels qui étaient visés », a-t-elle déclaré au Monde en précisant que la DGSI n’avait pas confirmé d’infection des appareils ciblés à l’époque.

Les trois alertes sont regroupées par le parquet de Paris dans une seule et même enquête même si le constructeur a précisé qu’elles correspondaient à des attaques distinctes. Selon Politico, les enquêteurs n’auraient pas encore identifié le logiciel espion qui aurait été utilisé mais ils écarteraient déjà la piste du logiciel Pegasus de l’entreprise israélienne NSO.

Le fait qu’un smartphone ait été ciblé n’implique pas obligatoirement que l’infection ait fonctionné. Agnès Pannier-Runacher a affirmé au Monde que les premières analyses seraient négatives.

• Pegasus : de nouveaux détails sur l’utilisation du logiciel par le Maroc contre la France

Réécrivons tout en Rust

OpenAI a de nouvelles envies de conquête, cette fois dans le champ de ce qu’elle nomme « les langages à faibles ressources ». L’entreprise vise explicitement cette fois les vieux, voire très vieux langages, au premier rang desquels le COBOL. La promesse est de faire exploser le nombre de projets de migration grâce à ses soins.

Selon OpenAI, les dernières avancées de ses modèles ont renforcé leurs capacités à créer et à migrer des logiciels dans des langages comme COBOL, Fortran et Visual Basic. Des langages dits « à faibles ressources », car ils ont moins de code et de documentation pour entrainer les modèles que d’autres bien plus courants comme Python et JavaScript.

« COBOL fait fonctionner⁠ plus de 40 % des systèmes bancaires en ligne, 80 % des transactions par carte de crédit en personne et 95 % des transactions aux distributeurs automatiques », indique OpenAI, montrant l’ampleur du marché. Des chiffres familiers ? Nous avions les mêmes dans notre article de juillet 2025 consacré au COBOL et à sa présence toujours importante. Ils sont issus d’une enquête réalisée par Reuters en 2024. Dans notre article, nous montrions d’ailleurs que le langage restait vivant, mais qu’il y avait un déficit de développeurs formés à ce langage. Fortran, utilisé pour les prévisions météorologiques⁠ et l’analyse de sûreté des réacteurs nucléaires⁠, fait aussi partie des langages visés.

OpenAI dit avoir reçu de nombreux retours sur la difficulté à travailler avec l’IA sur ces langages. « La documentation peut être incomplète, les développeurs d’origine peuvent avoir quitté l’entreprise, et des règles métier importantes peuvent n’exister que dans le code », indique OpenAI. Autant de problématiques que nous avions abordées dans notre article.

OpenAI s’est fabriqué deux évaluations

L’entreprise souhaitait savoir si ses modèles avaient progressé. La question est presque rhétorique : le billet d’OpenAI est là pour montrer à quel point ses LLM ont justement progressé.

Pour les mesurer, OpenAI dit avoir créé deux évaluations. La première, MultiLang, vérifie si un modèle peut créer un moteur de base de données compatible avec SQLite dans 20 langages, en partant d’une page blanche. La seconde est une évaluation plus spécifique aux migrations COBOL pour vérifier si le modèle peut migrer des programmes existants en préservant leur comportement. En somme, l’une vérifie la création de nouveaux logiciels, tandis que l’autre s’assure que les migrations réussissent.

Sans surprise, OpenAI indique que les progrès de ses modèles sont « considérables ». Astra a ainsi atteint un score de 87,4 % sur le premier test en moyenne, contre 26,8 % pour GPT-5.6 Sol, avec des progrès sur l’ensemble des 20 langages. « GPT‑6 Luna surpasse également GPT‑5.6 Sol, atteignant 40,3 % pour un coût estimé de l’API inférieur d’environ 78 % », ajoute OpenAI.

Les règles particulières du COBOL

L’évaluation spécifique au COBOL est plus intéressante, car le problème initial est plus complexe. OpenAI rappelle ainsi que la réussite d’une migration dépend d’une pleine compréhension de la logique métier et des comportements propres au langage. « Par exemple, l’arithmétique à virgule fixe de COBOL supprime les décimales excédentaires, sauf si un arrondi est explicitement demandé. Une réécriture qui arrondit ces valeurs à la place peut s’exécuter sans erreur tout en produisant des résultats financiers différents », affirme l’entreprise.

La vérification se base sur des « tests cachés » qui exigent des sorties observables identiques, à l’octet près. La migration n’est considérée réussie que si tous les tests sont validés. Dans le cas présent, les projets en COBOL devaient être convertis en C++, Java, Kotlin, Python ou Rust.

Dans cette évaluation, GPT‑6.1 Sol a atteint 86,6 % d’exactitude avec un faible effort de raisonnement, contre à peine 5,4 % pour GPT‑5.6 Sol, le tout avec un coût inférieur de 39 %. OpenAI ajoute qu’avec un effort de raisonnement plus élevé (on ne connait pas l’effort de départ), le score grimpe à 97,9 %.

Le message est donc clair : on peut utiliser Astra et GPT-6.1 Sol pour migrer les projets ou en bâtir de nouveaux compatibles. Une conclusion qu’OpenAI met d’autant plus en avant que l’IA fait exploser depuis plusieurs mois les projets de réécriture, de nombreux développeurs (confirmés ou en herbe) se lançant notamment dans une course aux performances.

OpenAI ajoute toutefois que même si les résultats obtenus vont dans le bon sens, « leur application à des logiciels en production exige toujours une vérification par des experts et des tests tenant compte des règles métier et des dépendances du système ».

Des résultats à prendre avec des pincettes

Le principal problème de cette annonce est son opacité. C’est particulièrement vrai dans le cas de COBOL.

On ne sait pratiquement rien en effet de l’évaluation construite par OpenAI, alors que MultiLang a son dépôt GitHub. Rien sur le nombre de programmes, leur origine, leur taille ou même leur degré de ressemblance avec du COBOL réellement utilisé en production. L’évaluation étant opaque, elle ne peut pas être reproduite par des tiers indépendants et il faut donc croire OpenAI sur parole. Que les modèles progressent sur des langages comme COBOL ou Fortran ne fait pas de doute, mais il est difficile de se rendre compte de l’évolution concrète sur la seule base des affirmations d’OpenAI, les évaluations étant proposées par la même entreprise qui propose les modèles testés.

Notons également que les deux évaluations envisagent des tests très différents dans leur approche. SQLite est un projet présent depuis longtemps et aux nombreuses réimplémentations, des portages existant dans plusieurs des langages testés. Il n’est donc pas étonnant qu’un modèle récent s’en sorte bien, puisqu’il restitue en partie des connaissances présentes dans les données d’entraînement. À l’inverse, la situation est plus complexe pour COBOL, Fortran et d’autres anciens langages, les ressources étant nettement moins nombreuses.

J'ai pas trouvé la màj pour mon Windows Millennium, normal ?

Le mercredi 21 octobre restera certainement gravé dans les mémoires. Plusieurs failles d’importance ont été dévoilées : deux sur PHP permettant d’exécuter du code à distance, huit clés générées n’importe comment permettant de créer des certificats pour n’importe quel site ou application, sans oublier des failles sur Node.js et GitLab. Next revient sur les enjeux techniques et les conséquences à venir.

Il y a des dates qui restent marquées dans les mémoires. Celle du 8 avril 2014 était un bon exemple. Il y a 12 ans, Heartbleed secouait en effet Internet : une faille dans OpenSSL (une brique servant à sécuriser les connexions sur Internet) permettait de récupérer des données en clair directement dans la mémoire des serveurs. Identifiants, mots de passe… tout y passait, notamment des données bancaires malgré le silence des banques.

Ce mercredi 21 octobre 2026 en est désormais une autre.

• Failles critiques PHP : les correctifs sont en ligne et à installer rapidement

PHP, un langage utilisé dans 70 % des sites web

Ce 21 octobre, une bonne partie des responsables de sites étaient devant leur PC à attendre 16 h (heure de Paris) avec une certaine fébrilité. En cause, l’équipe de PHP avait donné rendez-vous en annonçant que deux méchantes failles PHP allaient être dévoilées, avec les correctifs. Traduction : la mise à jour devait se faire sans attendre.

Dans la journée, les choses se sont accélérées, des prototypes d’exploitation circulant sur les réseaux sociaux (vrais ou pas, le souci n’était même plus là) ; PHP a finalement publié les correctifs avec 15 minutes d’avance. Les versions avec un correctif officiel sont les suivantes : 8.2.35, 8.3.36, 8.4.27 et 8.5.12.

Les deux failles permettent d’exécuter du code arbitraire à distance, sans aucune authentification. Elles permettent par exemple de lire l’intégralité des données, d’obtenir les accès aux bases de données, de récupérer des clés API, de prendre le contrôle de la machine, etc. La gravité dépend de la manière dont PHP est exécuté.

Ces vulnérabilités sont particulièrement graves car elles résident dans un langage de programmation utilisé par 70 % des sites web, selon plusieurs estimations. L’ANSSI fait le point pour la France : « PHP est un langage de script largement utilisé par les serveurs web, avec plus de 600 000 serveurs l’exploitant sur l’Internet français. Il s’agit d’un moteur permettant aux sites web de générer des pages dynamiques, dont le contenu évolue en fonction des interactions des utilisateurs ou des données du serveur ».

Une exploitation pas simple, mais une faille imparable sauf à mettre à jour PHP

Les montants n’ont encore rien de comparable avec les sommes que vont chercher les poids lourds états-uniens du secteur, mais ils témoignent d’une volonté d’accélération.

D’après deux rapports distincts de Reuters et de Bloomberg, le Chinois DeepSeek est en passe de boucler une levée de fonds d’environ 100 milliards de yuans, soit l’équivalent de 15 milliards de dollars ou 13,35 milliards d’euros, pour accélérer ses développements en matière d’intelligence artificielle générative.

La levée de fonds, qui n’a pas été officiellement confirmée, impliquerait deux investisseurs de premier plan : le spécialiste des batteries lithium-ion Contemporary Amperex Technology Co. Ltd (CATL), dont les activités profitent à plein régime de l’essor des véhicules électriques, et le groupe Tencent, éditeur de l’application sociale WeChat, par ailleurs partenaire financier d’Ubisoft.

D’après les deux agences, qui affirment tenir leurs informations de sources proches du dossier, DeepSeek visait initialement un tour de table à hauteur de 50 milliards de yuans (6,7 milliards d’euros). L’objectif aurait finalement été révisé à la hausse en raison de l’intérêt des investisseurs, dont plusieurs seraient adossés soit à l’État chinois, soit à des grands groupes locaux, remarque Reuters.

Ce tour de table donne, quoi qu’il en soit, de nouveaux moyens à DeepSeek, qui attaque le marché de l’IA générative avec des modèles à poids ouverts, et une exécution à distance via API facturée à des tarifs nettement plus agressifs que ceux pratiqués par OpenAI, Anthropic et consorts.

Il constitue également un signal supplémentaire de l’entrée de DeepSeek dans la course aux investissements, notamment pour des infrastructures d’entraînement et d’inférence gérées en propre. Cette levée de fonds intervient alors que l’entreprise prépare, sans l’avoir encore formellement annoncée, une introduction en bourse susceptible d’intervenir dès 2027, à Shanghai, et quelques jours après que les États-Unis ont interdit l’utilisation des modèles DeepSeek au sein des administrations fédérales.

Mega Meta amende

L’entreprise de Mark Zuckerberg a été condamnée, suite à l’affaire Cambridge Analytica, à payer 25 milliards de dollars dans l’État américain du Nouveau-Mexique pour avoir menti à ses utilisateurs concernant la confidentialité de leurs données. C’est l’une des plus lourdes sanctions contre une entreprise du numérique jamais prononcées.

Ce n’est pas la sanction la plus lourde que le juge aurait pu prononcer, mais son ampleur reste historique : Meta a été condamnée à payer 25 milliards de dollars. Comme nous l’expliquions fin septembre, l’entreprise de Mark Zuckerberg pouvait craindre une addition encore plus salée, avec une sanction potentielle de 219 milliards de dollars.

Le verdict tombé le 25 septembre concernait les suites de l’affaire Cambridge Analytica. Ce cabinet britannique avait organisé, à partir de 2014, un microciblage politique en collectant des données sur 87 millions d’utilisateurs de Facebook, puis les avait exploitées pour différentes campagnes électorales, dont la première de Donald Trump en 2016 et celle du Brexit.

Comme d’autres États américains, le Nouveau-Mexique avait porté plainte contre Facebook (devenu ensuite Meta). Mais son procureur est le seul à ne pas avoir signé d’accord avec l’entreprise et à avoir poussé le procès jusqu’au bout. Au final, le jury a constaté que Facebook s’est rendu coupable de 43 899 725 infractions à la loi sur les pratiques déloyales en vigueur dans l’État et 26 des 29 déclarations de Meta pointées par l’accusation ont été désignées trompeuses par le jury. Notamment, l’entreprise a menti sur le contrôle par ses utilisateurs du partage de leurs informations, sur leur vente ou leur cession à des annonceurs ou encore sur l’achat et la vente de données utilisateurs par Meta. Mais il restait à un juge de décider quelles en seraient les conséquences financières pour Meta.

Des pratiques « au cœur même des pratiques commerciales fondamentales de l’entreprise »

« Les agissements répréhensibles de Facebook – qui se sont étalés sur plusieurs années et ont été systématiquement portés à la connaissance du public – touchent au cœur même des pratiques commerciales fondamentales de l’entreprise », a affirmé le juge Francis J. Mathew dans son ordonnance [PDF] suivant le verdict du jury. « Cela concerne la manière dont Facebook attire les utilisateurs sur sa plateforme et parvient à les y fidéliser. Cela concerne également la principale ressource que les utilisateurs apportent à Facebook — leurs données —, qui est précisément ce qui a permis à Facebook d’atteindre un tel niveau de rentabilité », a-t-il ajouté.

« L’ampleur du préjudice causé dans cette affaire est difficile à évaluer et touche au cœur même du modèle économique de Facebook », y écrit-il encore. Il souligne le « nombre extraordinaire de violations délibérées […], la durée et la répétition » qui « justifient l’application de la sanction la plus sévère ».

25 milliards et 15 % d’intérêt par an jusqu’au paiement intégral

Le juge a néanmoins ramené l’amende que devra payer Meta de 219 milliards à 25 milliards de dollars mais a ajouté que « les intérêts sur cette amende courront au taux de 15 % par an jusqu’à son paiement intégral ».

« C’est un jour historique pour le Nouveau-Mexique et pour les consommateurs de tout le pays », a déclaré le procureur général Raúl Torrez. « Depuis trop longtemps, de puissantes entreprises technologiques agissent comme si leur taille et leur influence les plaçaient hors de portée de la loi. Un jury du Nouveau-Mexique a constaté près de 44 millions d’infractions à notre loi sur la protection des consommateurs, et cette décision de sanction démontre que ces infractions entraînent des conséquences réelles. Nous nous sommes attaqués à l’une des plus grandes entreprises au monde parce que les habitants du Nouveau-Mexique méritent l’honnêteté, la responsabilité et la protection de leurs données personnelles. Le résultat d’aujourd’hui montre clairement qu’aucune entreprise n’est trop puissante pour être tenue de rendre des comptes. »

« Cette décision, ainsi que l’approche adoptée par le procureur général dans le cadre de cette application de la loi, rend pratiquement impossible toute activité commerciale dans l’État du Nouveau-Mexique », a affirmé le directeur juridique de Meta, C.J. Mahoney, dans une déclaration citée par l’agence Reuters. « Au fond, cette action en justice vise à imposer une taxe sur la liberté d’expression afin d’imposer de nouvelles règles sur ce que les gens peuvent dire en ligne », s’indigne-t-il. Il précise que son entreprise va faire appel.

Un sondage effectué par YouGov pour le think tank européen Interface montre que les enfants de plus de 11 ans utilisent quasiment autant les IA génératives que leurs parents. Mais ceux-ci sous-évaluent cette fréquence d’utilisation. Les enfants souhaiteraient les utiliser moins souvent.

YouGov publie ce jeudi 22 octobre un sondage commandé par le think tank européen Interface sur l’utilisation des IA génératives par les parents et enfants en France (effectué en interrogeant 1 138 parents et 970 adolescents âgés de 11 à 17 ans après accord des parents). Selon celui-ci, 86 % des enfants interrogés utilisent plus ou moins régulièrement des outils d’IA génératives, alors que 76 % des parents estiment que leurs enfants les utilisent.

Le think tank Interface qui a commandé ce sondage est une association qui revendique être apartisane et n’être « affiliée à aucune institution publique ou privée ». Sur sa page de transparence financière, elle indique avoir obtenu des financements variés venant de l’Open Society Foundation, mais aussi de la William and Flora Hewlett Foundation, de la fondation Mercator et de l’entreprise Luminate.

La démarche de ce sondage est intéressante : il essaye de mesurer l’accès et l’usage de l’IA générative chez les adolescents et chez les parents, mais aussi la perception des parents sur les usages de leurs enfants et notamment leur fréquence d’utilisation (ce qui est différent d’une mesure du temps qu’ils y passent).

Ainsi, chez les parents interrogés, on peut se rendre compte que la quasi-totalité connait les outils d’IA générative, que ce soit (à 97 %) les chatbots généralistes comme ChatGPT, Claude, Gemini, Copilot ou les assistants vocaux (à 94 %) et dans une moindre mesure (85 %), celles intégrées aux réseaux sociaux comme My AI chez Snapchat ou Meta AI dans WhatsApp ou Instagram. Ils connaissent légèrement moins (70 %) les compagnons IA comme Character.AI, Replika ou Nomi.

Leur utilisation est aussi importante. Ainsi, 80 % d’entre eux utilisent une IA générative généraliste, 57 % des assistants vocaux, 45 % des IA intégrées aux réseaux sociaux et un tiers utilise des compagnons IA :

Une sous-évaluation des parents de l’utilisation par leurs enfants

Mais concernant leurs enfants, les parents sous-évaluent l’adoption des IA génératives généralistes. Ainsi, alors que 66 % des parents pensent que leur enfant les utilise, 78 % des enfants déclarent le faire. Pour le reste des outils, l’écart entre la perception des parents et la déclaration des enfants existe, mais elle est plus faible (49 % contre 55 % pour les assistants vocaux, par exemple).

On peut voir aussi dans ces résultats que l’utilisation au moins une fois par semaine est sous-évaluée par les parents : 41 % d’entre eux, contre 51 % d’utilisation déclarée chez les enfants.

Selon ce sondage, l’utilisation des IA génératives par les enfants plus jeunes semble plus sous-évaluée :

Les parents perçoivent plus de risques que leurs enfants

Quand YouGov propose aux parents d’évaluer ce que l’utilisation de l’IA générative fait sur leurs enfants, les parents restent prudents. 32 % estiment par exemple qu’elle « peut être un outil utile pour la réussite scolaire » mais aussi à 27 % qu’elle « nuit au développement de la réflexion personnelle de mon enfant ». De même, 32 % estiment qu’elle « aide mon enfant à approfondir ses connaissances », mais à 24 % qu’elle « expose mon enfant à des informations fausses ou trompeuses ».

Du côté des enfants, la perception des aspects négatifs est beaucoup moins forte. Ainsi, ils sont 47 % à choisir que l’IA « me fait gagner du temps (par exemple les devoirs) » et seulement 17 % qu’elle « m’empêche de réfléchir par moi-même ».

Les enfants sentent que les outils les incitent à les utiliser plus souvent qu’ils ne le veulent

Mais les enfants, en très grande majorité (92 %), souhaiteraient néanmoins passer moins de temps sur ces outils. Ainsi ils sont 59 % à avoir l’impression de passer trop de temps avec des compagnons IA et 57 % avec des IA intégrées aux réseaux sociaux. De façon moins importante mais significative, ils sont 45 % à avoir ce sentiment pour les outils d’IA générative généraliste et 43 % pour les assistants vocaux.

Mais rassurez-vous, FC continuera à sortir tous les ans

EA (Electronic Arts) engage une restructuration interne visant à se recentrer sur ses plus grandes licences, et explorer de nouveaux marchés. Dans ce contexte, l’éditeur annonce la fermeture du studio BioWare, créateur de Baldur’s Gate, Neverwinter Nights, Knights of the Old Republic, Dragon Age. Le projet Mass Effect 5 est abandonné.

On verse une larme dans les Royaumes Oubliés. Le studio BioWare, auteur de franchises mythiques dans l’univers des jeux d’aventure et du RPG et propriété d’EA (Electronic Arts), vient d’annoncer sa fermeture prochaine, après trente ans d’activité.

La fin d’un studio mythique

« Aujourd’hui, après plus de trois décennies d’aventures partagées, BioWare ferme ses portes et le développement initial du prochain projet Mass Effect prend fin », écrit le studio, avant d’indiquer se concentrer sur le devenir de ses équipes, et de remercier les joueurs pour leur adhésion aux histoires inventées par ces dernières.

« Ce que des générations de BioWare ont construit ensemble mérite d’être célébré et de rester dans les mémoires. Ces jeux sont devenus bien plus grands parce que vous y avez joué, débattu de vos choix, êtes tombés amoureux des personnages et fait de ces mondes les vôtres. »

La crise qui traverse le secteur du jeu vidéo, déjà balayé par de nombreux plans sociaux, n’est pas nouvelle, mais la fermeture de BioWare suscite une émotion particulière chez les joueurs : le studio est en effet à l’origine de quelques franchises emblématiques du jeu vidéo occidental (Dragon Age, Mass Effect) et auteur de titres sous licence considérés comme fondateurs, à l’image de Baldur’s Gate (1998) et Baldur’s Gate II (2000).

Depuis l’échec commercial de Dragon Age: The Veilguard (2024) et la fermeture, en 2025, des serveurs dédiés à l’action-RPG coopératif en monde ouvert Anthem, BioWare se consacrait principalement au prochain épisode de la série Mass Effect avec une équipe déjà resserrée.

EA se concentre sur ses licences phare

L’information avait été éventée quelques minutes plus tôt par Bloomberg, selon qui la fermeture de BioWare intervient dans le cadre d’un plan social qui doit permettre de supprimer environ 400 postes chez EA et de réaliser 700 millions de dollars d’économies par an.

EA n’a pas confirmé les chiffres, mais une lettre ouverte cosignée par David Tinson et Cam Weber confirme une restructuration en cours, avec la volonté affichée de recentrer EA sur ses licences les plus puissantes commercialement, tout en allant explorer de nouveaux marchés, notamment en Asie, et de nouveaux modèles économiques.

Sur le segment des jeux de tir, Battlefield 6 est qualifié de succès, et les studios Respawn et DICE sont chargés de prolonger la dynamique. Des investissements continus dans Apex sont par ailleurs évoqués. Côté aventures, Marvel’s Iron Man et le prochain Star Wars Jedi figurent toujours à l’agenda.

Sans surprise, EA prévoit également de muscler son offre autour de FC (football), tandis que son open world dédié au football américain, nom de code Project Gridiron, est maintenu, tout comme le jeu de combat Fight Night. Les Sims restent également au coeur des attentions, même si EA annonce la mise en pause du Project Lotus qui désignait une extension de la franchise sous forme de titre multijoueurs.

La lettre confirme enfin la fermeture de BioWare et l’arrêt de Mass Effect. « Nous avons décidé de ne pas poursuivre ce développement, ce qui entraîne la fermeture du studio et de nos bureaux d’Edmonton. BioWare est un studio légendaire qui a contribué à définir le genre du jeu de rôle, et nous ne prenons pas cette décision à la légère », écrivent les deux dirigeants.

Cette restructuration intervient quelques semaines seulement après qu’EA est officiellement passé sous contrôle d’un consortium à majorité saoudienne.

Le géant américain du jeu vidéo a confirmé début août la finalisation de son rachat par trois fonds d’investissement : le PIF (fonds public d’investissement) d’Arabie saoudite présidé par le prince héritier Mohammed ben Salmane, ainsi que les Américains Silver Lake Capital et Affinity Partners (géré par Jared Kushner, le gendre de Donald Trump). L’opération prenait la forme d’un LBO (leveraged buyout), un montage dans lequel une partie du rachat est financée par des emprunts que les revenus de l’entreprise acquise doivent ensuite contribuer à rembourser.

Elle laissait donc augurer des coupes franches rapides dans les postes de dépense du groupe, qui revendique toujours le titre de premier éditeur de jeux vidéo sur les marchés occidentaux. BioWare, qui ne semblait déjà plus en grâce, en est la première victime.

« L’État impose de partager des données sensibles mais faillit à sa mission de protection »

Des associations féministes étaient mobilisées mardi pour demander une action plus ferme contre Brixhub, le moteur de recherche de données personnelles issues de fuites de données, et interpeller l’État sur son manque de protection des données des administrés.

Elles étaient une dizaine, le 20 octobre, à Bercy. Des militantes et militants féministes et pour les droits numériques, réunis à deux pas du Ministère de l’Économie et des Finances, pour demander à l’État de mettre des moyens concrets dans la protection des données de la population.

« Les risques sont partagés par tous », expose Alice Apostoly, chargée de plaidoyer chez Féministes contre le cyberharcèlement, auprès de Next. « Ils sont d’autant plus forts pour les femmes et les filles, dans la mesure où ils facilitent le traçage de celles qui sont exposées à des violences, ou renforcent les risques liés à des campagnes de cyberharcèlement. »

Dans le viseur des personnes rassemblées ce soir-là : Brixhub, un site web fournissant un moteur de recherches dans la foule des fuites de données personnelles des derniers mois. Début octobre, la ministre déléguée de l’intelligence artificielle et du numérique Anne le Hénanff a saisi la procureure de Paris pour réduire la visibilité de la plateforme sur le web ouvert. Mais celui-ci n’a pas tardé à faire éclore des sites miroirs, dont le plus accessible indique être hébergé en Russie.

Répertoire de fuites de données publiques et privées

Étudiante, Lola passe devant le rassemblement puis s’arrête. Elle connaît Brixhub, et la logique de ces sites et boucles de discussion parfois qualifiés de « lookups ». Elle a fait le test de chercher son nom et celui de ses parents, pour voir : « J’ai des données qui avaient fuité, et j’ai appris que c’était via Ameli. »

4 !

eMudhra, une entreprise indienne qui se targue d’avoir délivré plus de 60 millions de certificats numériques, utilisait des clés privées très mal générées. Résultat : n’importe qui pouvait les utiliser pour certifier un site. Le travail pour faire le ménage est important et ne se limite pas aux navigateurs qui ont rapidement bloqué les certificats concernés.

Des ingénieurs en cryptographie se sont aperçus que huit clés privées de l’entreprise eMudhra, autorité de certification basée en Inde, étaient extrêmement mal générées. Elles mettent la sécurité des communications sur Internet en grande difficulté. L’entreprise indienne assure cependant qu’une seule d’entre elles était en production et qu’elle n’avait délivré aucun certificat.

Les certificats TLS permettent aux internautes d’authentifier un tiers et d’initier une communication sécurisée. Ils sont notamment utilisés pour sécuriser le protocole HTTPS. Mais ils reposent sur la certification émise par des autorités via une signature construite à partir d’une clé privée. Si un tiers obtient celle-ci, il peut créer des certificats et se faire passer pour quelqu’un d’autre, par exemple votre banque ou une entreprise de vente en ligne en laquelle vous avez assez confiance.

Des clés privées associées à huit certificats intermédiaires compromises

« Le samedi 17 octobre, à 20 h 06 UTC, Mozilla a reçu un signalement d’un membre de la communauté indiquant que les clés privées associées à huit certificats intermédiaires eMudhra avaient été compromises. Ces clés pourraient permettre à des pirates d’émettre des certificats HTTPS frauduleux pour des sites web qu’ils ne contrôlent pas », a expliqué Dennis Jackson, ingénieur en cryptographie chez Mozilla ce mardi 20 octobre dans un message envoyé à la communauté.

« Un pirate peut créer un faux certificat pour n’importe quel domaine et s’en servir pour usurper l’identité de serveurs afin d’intercepter ou de modifier le trafic. Il s’agit d’un incident de sécurité grave dont les répercussions s’étendent à l’ensemble d’Internet », ajoute Cloudflare dans un billet consacré au sujet.

Des clés « intrinsèquement faibles »

Le problème, découvert par un certain Wayne, est décrit sur un site nommé « eMudhra, nous avons un problème » créé par Dennis Jackson, un ingénieur de Mozilla. Il y partage la preuve de la compromission des certificats. Le chercheur en cryptographie, Scott Helme a analysé le problème dans un billet de blog.

« Ces huit certificats intermédiaires comprennent six autorités de certification (CA) délivrant des certificats TLS (DV, OV et EV, deux générations pour chaque type) et deux autorités de certification pour la signature de code, toutes créées en avril 2025. Chacune d’entre elles a également été signée de manière croisée par la racine « AAA Certificate Services » de Sectigo en mai 2025 », explique-t-il.

« Il s’agit de clés à un octet intrinsèquement faibles que n’importe qui peut factoriser, et ce problème ne peut pas être maîtrisé », ajoute le chercheur. « Intrinsèquement faibles » est presque une litote puisque, comme le souligne Scott Helme : « L’une des clés privées de l’autorité de certification eMudhra est le chiffre 4 ». « Il ne s’agit pas d’un nombre commençant par 4, ni du chiffre 4 suivi de quelques centaines de chiffres aléatoires, mais simplement du chiffre 4… », insiste-t-il. « Une autre est 56, et une autre encore 115 ». Elles étaient donc extrêmement faciles à trouver.

Normalement, avec des clés de ce type (courbe elliptique P-384), il faudrait un nombre aléatoire de 384 bits (48 octets), alors que dans le cas présent seul le dernier octet est utile ; les 47 autres ne contiennent que des 0. Retrouver la clé privée ne demande donc que 255 essais au maximum, autant dire en un claquement de doigts.

Les certificats rapidement bloqués pour la navigation web

Concernant la navigation sur le web, Mozilla, Chrome, Apple et Microsoft ont rapidement réagi. Ainsi Mozilla affirme que, moins de trois heures après avoir été prévenu, elle a bloqué les certificats dans Firefox via OneCRL. Les équipes de Chrome expliquent avoir fait de même via CRLSet. Les deux éditeurs ont aussi signalé qu’ils supprimaient le certificat racine eMudhra de leurs listes de certificats de confiance. L’entreprise indienne et Sectigo ont elles-mêmes révoqué les huit certificats en question.

L’équipe de Chrome explique aussi que, « par défaut, Chrome applique la transparence des certificats (Certificate Transparency, CT) à toutes les connexions s’appuyant sur des certificats racine figurant dans le magasin de certificats racine de Chrome, et rejette tout certificat TLS n’ayant pas été enregistré conformément à notre politique ». C’est le cas aussi de Firefox depuis la version 135. « Étant donné qu’aucun certificat TLS lié à ces six autorités de certification intermédiaires n’avait été enregistré dans CT avant notre blocage du CRLSet le 17 octobre, aucun certificat frauduleux émis par ces autorités de certification n’aurait pu être considéré comme fiable par défaut dans Chrome ou dans d’autres navigateurs appliquant la transparence des certificats ».

Sur son site, Dennis Jackson explique que les certificats sont aussi bloqués sur les appareils Apple depuis le 19 octobre et sur les plateformes Microsoft depuis le 20. Ainsi, les logiciels pour Windows et les systèmes d’exploitation d’Apple ne peuvent plus non plus être authentifiés par ces certificats.

Des services à mettre à jour, une résolution plus compliquée pour le matériel

Mais le problème reste pour nombre de services Internet. « La plupart des clients TLS autres que les navigateurs (c’est-à-dire pratiquement tout le reste, avec les paramètres par défaut), tels que curl, Python, Node, Go, Java, git, les gestionnaires de paquets ainsi que tous les scripts et démons dont vous disposez, effectuent trois actions importantes dans ce contexte : ils font confiance à un ensemble d’autorités de certification [CA bundle, en anglais] stocké sur le disque, ils ne vérifient pas la révocation par défaut et ils ne vérifient pas la CT », explique Scott Helme.

Certaines équipes de ces outils ont déjà réagi. Comme le liste The Hacker News, un correctif a par exemple été mis en place pour Go, pour Network Security Services, pour Python certifi, pour Homebrew-core ou encore pour Rust webpki-roots.

Le conseil est donc de mettre à jour tout ce qui peut l’être et qui intègre un ensemble d’autorités de certification [CA bundle]. Comme le souligne Scott Helme, reste le matériel ne pouvant pas être mis à jour et qui va donc faire confiance à ces certificats jusqu’à juillet 2039, date de leur expiration.

eMudhra assure qu’aucun certificat ne s’appuyait sur ces clés et qu’une seule était en production

De son côté, eMudhra explique depuis le 20 octobre enquêter sur l’incident. Ce mercredi 21 octobre, elle assure que « sept des huit [clés] intermédiaires n’ont jamais été utilisées en production. La seule qui ait été utilisée en production n’avait délivré aucun certificat ». Elle affirme les avoir révoquées mais insiste : « elles n’ont jamais émis de certificat ; par conséquent, aucun certificat utilisé où que ce soit ne s’appuyait sur elles ».

Mais comme l’explique Scott Helme, pendant 17 mois, tout le monde pouvait pourtant émettre ses propres certificats en utilisant ces clés et ainsi certifier un site ou un service. Le chercheur l’a testé sur un serveur local et un certificat pour l’API de paiement par Internet de Stripe api.stripe.com. « Avec les paramètres par défaut, curl a indiqué que la vérification du certificat SSL s’était bien déroulée, Python a mené à bien la négociation de connexion et Node a renvoyé la valeur authorized: true. Cela s’est vérifié sur toutes les machines Linux et macOS que j’ai testées », explique-t-il.

« Par mesure de précaution, la clé racine a été considérée comme non fiable par les programmes de gestion des clés racines. À notre connaissance, aucune autre clé racine ni aucune clé intermédiaire n’ont été générées à l’aide de ce processus défaillant », ajoute dans sa note eMudhra.

L’entreprise n’a pas encore fini son enquête. Mais elle assure qu’elle a bien généré des clés « sur des modules de sécurité matériels [Hardware Security Modules, HSM] certifiés FIPS 140 - 2 niveau 3. Les allégations selon lesquelles les HSM n’auraient pas été utilisés sont erronées ». Elle ajoute cependant que « le problème provenait d’une faille dans l’une des étapes de la procédure de génération, et non de l’absence d’HSM ». Ainsi, pendant cette procédure, une étape clé de « wrap/unwrap » » aurait, selon l’entreprise indienne, « généré un deuxième ensemble de clés, plus faibles, en plus des clés originales, plus fortes. Ce sont ces clés plus faibles qui ont été publiées dans les magasins de clés racines des navigateurs ».

Mise à jour, 21h30 : Orange a annoncé le rétablissement de ses services dans un communiqué adressé par mail peu après 21 heures.

L’opérateur ne s’étend pas en détail, pour l’instant, sur les causes de cette longue coupure. Il l’attribue simplement « à une défaillance d’un équipement au niveau de [son] cœur de réseau mobile ».

« Les appels, les SMS et les usages mobiles sont de nouveau opérationnels pour les clients particuliers comme pour les entreprises. Les équipes techniques d’Orange sont restées pleinement mobilisées pendant toute la durée de l’incident et poursuivent la surveillance du réseau afin de s’assurer de la stabilité et de la qualité des services dans les prochaines heures. », ajoute-t-il.

On attend maintenant de voir si l’incident donnera lieu à une compensation financière pour les clients victimes, et à la publication d’un post mortem technique détaillé.

---

Mise à jour, 19h10 : la panne se prolonge pour une partie des abonnés Orange. Vers 18h30, plusieurs de nos contacts signalent n’avoir toujours pas récupéré la connexion mobile sur leur smartphone, sept heures environ après le début de l’incident. Le volume des signalements sur Downdetector a baissé, mais le site répertorie tout de même plusieurs centaines d’alertes par heure.

L’opérateur ne s’est pour l’instant pas exprimé sur les causes techniques de cet incident, même s’il a fait parvenir un communiqué de presse vers 19 heures à la rédaction :

« Les équipes techniques d’Orange sont pleinement mobilisées pour rétablir les services dans les meilleurs délais. Dans l’attente du rétablissement complet, Orange rappelle à ses clients qu’ils peuvent conserver la plupart de leurs usages mobiles (accès au site internet mais aussi communication au travers de services de messagerie et de visioconférences) en se connectant à un réseau Wi-Fi disponible et sécurisé. »

Certains indices dessinent une hypothèse relative à la migration d’une partie du parc d’abonnés Orange (ou des clients d’opérateurs virtuels empruntant son réseau) vers le cœur de réseau mobile nouvelle génération qui accompagne notamment le déploiement de la 5G SA.

À ce stade, impossible toutefois d’être catégorique. Quelques utilisateurs affirment avoir retrouvé l’accès à leur connexion mobile en forçant l’utilisation de la 3G sur leur appareil. Orange précise par ailleurs que les appels d’urgence ne sont pas concernés par la panne.

D’autres s’interrogent sur l’éventuel lien entre cette panne et la coupure du réseau 2G historique d’Orange, dont la dernière vague est survenue mardi 20 octobre sur une large portion du territoire métropolitain. L’extinction de la 2G aurait-elle supprimé un canal de supervision ou de reprise à distance ? Hormis la proximité temporelle, rien ne permet d’accréditer sérieusement cette thèse.

• La 2G s’éteint dans trois mois… mais il y a encore 1,7 million de cartes SIM actives

---

Publication initiale, 12h30

Depuis 11h30 environ mercredi matin, les signalements relatifs à une indisponibilité du réseau mobile Orange se multiplient, avec des témoignages qui laissent augurer un problème sensible à l’échelle nationale.

Le site Downdetector relève ainsi quelque 8 000 alertes réparties entre Orange et sa marque Sosh entre 11h30 et midi.

L’opérateur a confirmé à 12h12 qu’un incident était en cours au niveau de ses infrastructures.

« Bonjour, vous pouvez rencontrer actuellement des perturbations sur le réseau mobile Orange. Nos équipes sont pleinement mobilisées pour rétablir le réseau dans les meilleurs délais. Veuillez nous excuser pour la gêne occasionnée. »

Aucun détail technique n’a cependant été donné à ce stade. Nous reviendrons sur le sujet dès que de plus amples informations seront disponibles.

L’opérateur avait déjà été victime d’une panne d’envergure nationale le 29 juin dernier.

Toujours des noms simples à prononcer

Mistral a lancé récemment deux modèles spécialisés, Voxtral 3 pour transcription et la synthèse vocale et Timestral pour les « séries temporelles ». Ce dernier doit permettre des prévisions sans réentrainement.

Mistral avait lancé son premier modèle Voxtral en juillet 2025. Il s’agissait alors de son premier modèle audio, que Mistral mettait en avant comme plus performant et moins cher que les solutions concurrentes. Plusieurs tailles étaient proposées, selon la durée des contenus audio que l’on souhaitait traiter.

Ce LLM spécialisé a beaucoup évolué, puisque la version 3 est maintenant disponible. La communication de Mistral braque largement les projecteurs sur les agents. Selon l’entreprise française, un agent vocal fiable doit ainsi maitriser quatre capacités : écouter avec précision, raisonner en profondeur sur ce que les utilisateurs veulent dans un contexte donné, parler naturellement et agir en plusieurs étapes.

Un SDK d’agents locaux

Voxtral 3 est la réponse de Mistral à ces quatre objectifs, dont un fonctionnement fiable et en temps réel « reste un défi ». Voxtral 3, comme le premier, désigne une famille de modèles spécialisés dans la reconnaissance et la synthèse vocales. Cette fois, elle est accompagnée d’un SDK (kit de développement logiciel) pour utiliser des agents locaux. Le SDK (bâti sur LiveKit) réunit dans un même pipeline de traitement l’écoute, la réflexion, l’appel d’outils et la parole.

La famille compte quatre modèles :

• Small Transcribe 3 : transcription groupée de meilleure précision, 50 langues, à 0,004 dollar la minute
• Mini Transcribe 3 : 4 milliards de paramètres, 0,0035 dollar la minute
• Mini Transcribe Realtime 3 : transcription en direct, latence revendiquée à moins de 500 ms, 0,008 dollar la minute
• Voxtral Speech 3 (ou Mini TTS 3.0) : synthèse vocale, plus de 35 langues et 50 dialectes, 13 dollars le million de caractères

Mistral vante l’émotion dans la voix pour « sonner naturellement » (prosodie, rythme, débit, accentuation et transitions), les performances en diarisation (reconnaître qui parle) et la prise en charge des biais contextuels. Pour ce dernier point, Mistral précise que l’on peut ainsi fournir des termes clés et du texte libre pour « orienter la transcription et améliorer le rappel des termes techniques ». L’entreprise ajoute le support de la prédiction de fin de tour, les modèles étant capables de prédire quand une personne a fini de parler, en se basant sur des informations acoustiques et sémantiques.

Selon l’annonce, les performances de ces modèles sont à « l’état de l’art », dépassant de nombreuses références du secteur, dont Whisper d’OpenAI. L’agent complet, lui, est facturé 0,04 dollar la minute avec Small et 0,08 dollar avec un autre modèle de raisonnement. L’accès se fait via l’API de Mistral ou depuis l’infrastructure sur site.

Signalons que les quatre modèles sont en préversion publique et que certaines informations manquent. Par exemple, la taille de Small n’est pas donnée. En outre, aucun poids ouvert n’a encore été annoncé. En revanche, les performances revendiquées par Mistral semblent confirmées par Artificial Analysis.

Timestral : c’est quoi des « séries temporelles » ?

Le 15 octobre, Mistral avait également lancé un autre modèle, Timestral, premier représentant d’une nouvelle famille de LLM. Il est spécialisé dans les séries temporelles, c’est-à-dire des séries de mesures datées (capteurs, consommation, flux financiers…), afin d’établir des prévisions.

Timestral est fourni en quatre tailles : 5, 28, 123 et 209 millions de paramètres. Le modèle peut prévoir les séries sans réentraînement sur des données spécifiques, produire des prévisions avec une fourchette d’incertitude (21 quantiles) et accepter jusqu’à 32 768 pas d’historique. Selon Mistral, il peut traiter plusieurs séries liées à la fois ainsi que des facteurs connus à l’avance (calendrier de production, météo, etc.).

Timestral fonctionne également sans carte graphique. Mistral annonce à ce sujet un temps allant de 10 à 140 ms pour prévoir une journée, en fonction de la taille du modèle utilisé, sur un « CPU de serveur standard avec 8 threads » et sur la base de trois semaines d’historique au pas de 15 min. Comme toujours avec la taille des modèles, plus elle est importante, plus la précision augmente et plus le temps de calcul s’allonge.

Le code du modèle est sous licence Apache 2.0. Cependant, comme relevé par Pix Geeks, les poids sont sous une licence MIT modifiée « qui exclut les entreprises dont le chiffre d’affaires mensuel consolidé dépasse 20 millions de dollars. Celles-là doivent demander une licence commerciale à Mistral ou passer par ses services hébergés ». Sous ce seuil, l’utilisation de Timestral est gratuite.

Chauffe Marcel

Que ce soit par les collectivités ou les opérateurs, la récupération de chaleur est fréquemment citée comme argument valorisant la présence de ces bâtiments au sein d’un territoire. En pratique, le chercheur Loup Cellard constate la complexité des négociations relatives à la mise en place de la récupération et de la réutilisation de la chaleur émise.

Un ordinateur, ça chauffe. Des dizaines d’ordinateurs, ou plutôt de serveurs, stockés dans un seul bâtiment pour héberger des services de cloud ou des modèles d’IA, ça chauffe d’autant plus. C’est la raison pour laquelle, depuis des années, les acteurs de l’industrie des centres de données proposent aux collectivités de récupérer la chaleur fatale (énergie émise par l’activité, sans en être la finalité, et souvent sans être réutilisée) qu’ils émettent, entre autres arguments pour faciliter leur implantation.

En France, ce réusage est même passé dans la loi. L’article 26 de la directive européenne sur l’efficacité énergétique, adoptée en 2023 et transposée en France par un décret de décembre 2025, « oblige les centres de données les plus énergivores à valoriser la chaleur qu’ils produisent ». Pourtant, d’après les données de la Commission européenne, 0,1 % de la chaleur fatale émise par les centres de données implantés dans le pays est effectivement récupérée. C’est nettement moins que la moyenne européenne, quand bien même celle-ci plafonne de 2 à 9 % de chaleur fatale réutilisée.

Dans un récent rapport de l’Observatoire sur l’impact environnemental de l’IA de l’École normale supérieure, titré « La chaleur des data centers, un déchet qui voulait devenir une ressource pour les territoires », le chercheur Loup Cellard se penche sur les raisons de ces difficultés. Côté freins, il relève non seulement les problématiques techniques et géographiques facilement compréhensibles – certains centres de données se trouvent trop loin d’une clientèle susceptible d’être intéressée par la chaleur émise, par exemple –, mais aussi des problèmes de coordination et de négociation entre acteurs impliqués.

• Carte mondiale datacenters et ressources associées

Votre data center, vous le prendrez avec ou sans gestion de l’énergie et de la chaleur ?

L’industrie des centres de données n’est pas connue pour sa transparence – fin septembre, un collectif de journalistes regrettait même, enquête à l’appui, l’absence de volonté des États membres et de l’Union européenne sur le sujet. « C’est ici que l’une des missions sociales de la recherche académique se dessine », écrit Loup Cellard, avant de détailler la trentaine d’acteurs rencontrés pour des entretiens semi-directifs.

Pour dessiner une image précise des complexités relatives à l’émission de chaleur fatale des centres de données, le chercheur a rencontré des opérateurs ou ex-opérateurs de centres de données de colocation classiques ou alternatifs, des gestionnaires de réseaux de chaleur urbains, des agents publics chargés de la gestion de centres de données, des énergéticiens, des architectes et divers autres acteurs impliqués dans la construction et l’intégration des centres de données dans le tissu urbain ou rural.

• Datacenters : c’est quoi un campus, les Tiers, un hyperscaleur, la colocation, on premises…

Parmi les principaux constats que ces rencontres lui permettent d’établir : l’argumentaire de la réutilisation de la chaleur reste opérant dans la mesure où il permet aux data centers de se présenter « comme de bons acteurs énergétiques, à la fois performants dans leur optimisation des systèmes et volontaires à valoriser leur chaleur ». Depuis ce point de vue, ils promettent de « valoriser la chaleur comme un déchet dans une économie circulaire », par ailleurs intensifiée ces dernières années par le déploiement de l’IA générative.

Pour autant, la mise en place effective de ces circuits reste complexe. Ces deux axes placent les opérateurs de centres de données face à un paradoxe. Ils peuvent, d’un côté, maintenir une stricte division entre leurs métiers et ceux des énergéticiens. Ils risquent cependant d’être rangés dans la catégorie des gros consommateurs industriels d’énergie, avec tous les débats que cela suscite.

Autre possibilité : s’engager réellement dans la réutilisation de la chaleur émise, ou dans la gestion et le stockage de l’électricité. Dans ce cas, en revanche, c’est le métier lui-même qui mute, pour tenter de « faire coïncider leurs activités avec les valeurs et objectifs d’une économie circulaire ».

À qui revient la charge d’assurer la récupération de chaleur ?

Au sein des territoires, l’intérêt pour la récupération de la chaleur émise par les centres de données se justifie de plusieurs façons. Un argument quelquefois utilisé est celui de l’autonomie énergétique : en la matière, les data centers permettraient de « devenir moins dépendants des chaînes d’approvisionnement fossiles et lointaines (pétrole, gaz russes ou américains) ». 

Un autre consiste à s’assurer que le bâtiment s’intègre au territoire « de manière écologiquement positive », alors que le scénario de maintien des températures mondiales sous le seuil de 1,5 °C de réchauffement par rapport au niveau pré-industriel vient d’être dépassé. Dans un tel cas, la chaleur devient « une forme de compensation pour ce que l’opérateur va retirer au territoire (emprise au sol, grande réservation d’électricité, risque de pollution associé) », écrit Loup Cellard.

Mais le problème qui émerge rapidement est celui de la responsabilité et de la coordination des acteurs, y compris au gré des variations saisonnières. Directeur général des services de Generia, le syndicat réseau de chaleur de La Défense, Gérald Chirouze témoigne par exemple du cas d’un centre de données branché au sous-réseau de Courbevoie « Seinergie », qu’il approvisionne à hauteur de 20 MW. Or, pour approvisionner les 14 000 logements raccordés, le besoin courant est de 45 MW, mais tombe à 9 MW l’été. Il faut, dans ces cas-là, trouver un autre usage à la chaleur.

Plus généralement, des freins techniques sont mis en avant, à commencer par celui selon lequel l’essentiel des centres implantés en France émettent une chaleur trop basse, entre 20 et 25 °C, pour être raccordés directement aux réseaux de chaleur. En général, ces derniers nécessitent en effet des chaleurs de plus de 60 °C. Et même si la chaleur est destinée à de la production de culture maraîchère, l’eau doit être remontée à 55 °C pour chauffer correctement. Dans la plupart des cas, il faut donc ajouter une pompe à chaleur :

À ceci viennent s’ajouter des contraintes géographiques – à Nozay ou aux Ulis, en Essonne, les projets de Data4 et de Digital Realty ne trouvent pas de clientèle pour leur chaleur, par exemple –, ou spatiales. Si les bâtiments sont installés à plus de 3 km de leur destination, « la chaleur descend trop pour pouvoir être utilisée sans être maintenue ». Et puis vient la question de la négociation économique : difficile de savoir qui, « entre collectivités, gestionnaires de réseaux de chaleur et opérateurs de data centers », doit payer pour l’installation de pompes à chaleur et les travaux de raccordement. En la matière, les collectivités sollicitées indiquent ne pas connaître les capacités financières des opérateurs, ce qui complique la négociation de la répartition des coûts d’investissement.

Juridiquement, les data centers sont contraints depuis le 29 décembre 2025 à organiser la récupération d’au moins 20 % de leur chaleur fatale, « sauf si l’opérateur est capable de démontrer auprès des collectivités locales compétentes que le projet n’est pas faisable économiquement ou techniquement ». En l’espèce, le rapport suggère que les opérateurs n’auront pas de mal à démontrer la complexité de cette entreprise, sauf si l’administration se fait « particulièrement intransigeante en la matière ».

En définitive, son auteur souligne les besoins « de concertation et de planification énergétique » remontés par les spécialistes interrogés sur le terrain. À l’heure actuelle, « lorsque les contraintes techniques d’injection de chaleur sont maîtrisées », si la chaleur des data centers reste inutilisée, c’est le plus souvent par « manque d’anticipation et de connaissances mutuelles entre opérateurs d’infrastructures et réseaux de chaleur ».

En guise d’exemple réussi, le rapport se penche sur le cas d’un data center d’Equinix géré par une filiale d’Engie Solutions et alimentant logements, bureaux et centre aquatique de Saint-Denis. « Comme pour d’autres projets de récupération de chaleur (géothermie, usines de déchets, etc), la valorisation de la chaleur des data centers est grandement facilitée lorsqu’elle rencontre les ambitions d’un territoire en termes de décarbonation du mix énergétique. » Pour cela, souligne-t-il encore, il faut aussi que l’industrie concernée s’engage réellement.

• Datacenters : de l’Europe aux États membres, personne n’impose la transparence

À vos marques ! Prêts ?

PHP doit proposer à 16h00 des correctifs pour deux failles de sécurité critiques. Le calendrier pourrait toutefois changer en fonction des éventuelles fuites. En début d’après-midi, de nombreux sites sont passés en maintenance préventive.

Mise à jour du 21 octobre, 16 h : Les correctifs ont été publiés avec une légère avance par l’équipe de PHP. Avec de nombreux sites mis en maintenance préventive et des exploits des failles circulant depuis plusieurs heures déjà, il était temps.

Comme suspecté, les deux failles sont de type RCE (exécution de code à distance) et ont en commun la manipulation par PHP de données dans un état non fiable. La première, CVE-2026-109618, réside dans la manière dont PHP nettoie les requêtes. S’il avait été interrompu par manque de mémoire, il peut traiter des données partiellement initialisées comme si elles étaient valides, ce qui corrompt la mémoire. La seconde, CVE-2026-109619, réside dans la persistance d’un état interne après une requête : la mémoire correspondante est alors libérée, mais l’état reste référencé. La requête suivante, traitée par le même processus, peut réutiliser cet état périmé.

Quatre nouvelles versions de PHP ont été publiées pour intégrer les correctifs : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Toutes les installations servant des requêtes web sont concernées : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le risque est jugé maximal pour mod_php.

L’équipe liste des mesures pour atténuer les risques dans certains cas, mais ajoute qu’aucune protection n’est réellement valable en dehors de l’installation des correctifs. En outre, au vu de la situation, elle a décidé de rétroporter les sources pour PHP 7.4, 8.0 et 8.1, des versions hors maintenance. Dans ces cas, il faudra compiler soi-même le code.

Nous avions de notre côté mis Next.ink en maintenance le temps que les correctifs soient disponibles. Le site est de retour avec une version de PHP à jour.

---

Mise à jour, 14 heures : la portée exacte des deux vulnérabilités concernées n’est pas encore connue, mais l’alerte prend des proportions inédites. Mercredi matin, le CERT-EU, le service de cybersécurité dédié aux institutions de l’Union européenne, a publié un bulletin qui recommande l’application du principe de précaution :

« Le CERT-EU recommande aux organisations de se préparer à la mise à jour immédiate des systèmes affectés. Si cette mise à jour immédiate n’est pas possible, les organisations devraient envisager d’isoler les applications exposées à Internet des réseaux publics jusqu’à la disponibilité d’un correctif. »

Plusieurs sites baissent le rideau préventivement

Le conseil semble avoir été suivi d’effets. Plusieurs sites d’organismes officiels européens ont ainsi choisi de baisser le rideau préventivement, en affichant un message de maintenance, et un retour programmé dans quelques heures, c’est-à-dire après installation de la mise à jour promise à 16 heures par la fondation PHP. C’est le cas par exemple de la CNIL française, du site du parlement hollandais ou d’un certain nombre de services publics finlandais, comme en témoigne ce relevé.

Plusieurs grands sites privés ont également interrompu leurs activités. D’après nos constatations, 4chan, DeviantArt et Dev-Null affichent par exemple un message de maintenance dont la cause est explicitement annoncée. « 4chan est temporairement en lecture seule en attendant une mise à jour de sécurité urgente de PHP », indique ainsi la célèbre plateforme.

Des attaques déjà recensées, Node.js lance aussi une alerte

D’après Dane Knecht, directeur technique de Cloudflare, des vecteurs d’attaque précoces auraient déjà été identifiés. L’entreprise assure avoir mis en place des règles préventives pour protéger ses clients exploitant PHP sur des sites exposés, mais elle recommande l’application sans délai du correctif dès publication. Des éléments d’information relatifs à l’exploitation des deux failles (non confirmés) circulent effectivement sur les réseaux sociaux.

S’agit-il d’un hasard du calendrier ou d’une conséquence collatérale des travaux de recherche liés à PHP ? L’équipe de Node.js, un environnement JavaScript couramment utilisé sur le Web, a elle aussi alerté mercredi sur la publication imminente d’un correctif de sécurité portant sur ses principales versions. L’après-midi s’annonce chargée pour les développeurs web et les sysadmin du monde entier.

---

Publication initiale, 8h42

L’équipe de PHP a publié le 20 octobre un important bulletin de sécurité au sujet de deux failles critiques. Les informations détaillées et les correctifs seront publiés aujourd’hui à 16h00, heure de la métropole. Dans son bulletin, PHP indique que les deux failles ont un score CVSS v4 de 9,2 sur 10. L’équipe recommande à toutes les personnes concernées et aux entreprises de se préparer pour appliquer les correctifs aussi rapidement que possible.

Ce calendrier pourrait toutefois évoluer au cours de la journée. « Nous nous réservons le droit de divulguer plus tôt si des détails sur l’une ou l’autre des vulnérabilités deviennent publics, ou si des preuves d’exploitation active devaient apparaître dans la nature », indique ainsi l’équipe. Or, des informations circulent déjà, même si elles restent pour l’instant générales.

Des failles exploitables à distance

Bleeping Computer indique avoir échangé avec les chercheurs en sécurité de watchTowr. Les deux vulnérabilités seraient de type RCE (remote code exploitation) et seraient donc exploitables à distance, affectant les branches 5, 7 et 8 de PHP.

Elles sont manifestement référencées comme CVE-2026-109618 et CVE-2026-109619, le CERT-EU ayant une fiche à leur sujet. Celle-ci recommande « vivement d’identifier les applications basées sur PHP et de se préparer à corriger dès que des versions corrigées seront disponibles. Lorsque la remédiation immédiate n’est pas envisageable, les organisations devraient envisager d’isoler les applications connectées à Internet des réseaux publics jusqu’à ce qu’une solution soit appliquée ». Le CERT-EU évoque lui aussi le caractère RCE des failles.

Dans une publication sur X, watchTowr a averti hier soir que des informations avaient fuité, alors que tout le monde était « censé attendre ». Au-delà des quelques informations en circulation, l’entreprise a indiqué à Bleeping Computer qu’elle ne publierait pas les détails avant l’heure « pour des raisons évidentes ». watchTowr ajoute que les failles sont bien réelles : « Prenez-les au sérieux et appliquez les correctifs dès qu’ils seront disponibles ».

Nous mettrons à jour cet article quand les détails des failles seront connus.

Mega Cambridge Analytica

Alors que le deuxième tour de la présidentielle brésilienne arrive, Meta est accusée d’avoir introduit des biais dans ses algorithmes, dans ses IA et dans son traitement de la modération pour favoriser Flávio Bolsonaro contre le président actuel Luiz Inácio Lula da Silva. La justice brésilienne a donné 24 h à l’entreprise de Mark Zuckerberg pour montrer son impartialité.

Les élections dans les pays d’Amérique latine ne sont pas à l’abri de l’ingérence des entreprises états-uniennes proches de Donald Trump. Ainsi, à l’approche du deuxième tour de l’élection présidentielle qui aura lieu le 25 octobre, le camp du président brésilien sortant, Luiz Inácio Lula da Silva, a formellement accusé Meta d’ingérence électorale en faveur de Flávio Bolsonaro, son opposant d’extrême droite.

Déjà, avant le premier tour, son équipe s’était plainte que Meta avait brièvement suspendu le recours à la publicité de sa page Facebook. Mais ce n’est pas la seule difficulté qu’a rencontrée l’équipe de Lula avec les différents outils de l’entreprise propriétaire d’Instagram, Facebook et WhatsApp . « La succession de problèmes techniques non expliqués par l’entreprise laisse fortement soupçonner que l’action de Meta constitue une tentative d’ingérence dans le processus électoral brésilien au profit de la candidature de Flávio Bolsonaro », a déclaré le 10 octobre dernier un des porte-paroles du Parti des travailleurs représenté par Lula.

Des biais dans les algorithmes et les IA de Meta en faveur de Bolsonaro ?

L’équipe du président a attaqué la semaine dernière l’entreprise de Mark Zuckerberg en justice, l’accusant de biaiser les algorithmes de ses réseaux sociaux et les réponses de ses modèles d’IA pour favoriser Bolsonaro. Le juge de la Cour supérieure de justice brésilienne, Marco Aurélio Bellizze, s’est prononcé jeudi 15 octobre.

Selon Associated Press qui a eu accès à la délibération, il a statué que Meta ne pouvait pas réduire la diffusion de contenus politiques, restreindre les recherches ou supprimer des publications d’une manière susceptible de créer un déséquilibre entre les deux candidats. Meta devait aussi s’assurer que ses outils d’intelligence artificielle soient impartiaux. Le jugement appliquait une peine de jour-amende à Meta de 500 000 reales (89 000 euros) en cas de non-respect de la décision.

Le tribunal a rendu ce lundi une nouvelle décision, selon l’AFP, donnant cette fois 24 heures à Meta pour prouver qu’elle n’a pas mis en place d’ingérence dans la campagne électorale brésilienne. Le juge a multiplié par deux la peine de jour-amende si l’entreprise ne répond pas.

Des messages internes confirment, Meta réfute, invoquant des problèmes techniques

Le journal brésilien Folha de S.Paulo a pu consulter des messages internes entre employés de Meta montrant que l’entreprise a mis en place des restrictions sur le compte Instagram de Lula concernant sa promotion mais aussi une recommandation du profil de Flávio Bolsonaro. La loi électorale brésilienne interdit toute recommandation algorithmique sur les réseaux sociaux : la promotion est donc le seul moyen pour les candidats d’augmenter leur audience. Nos confrères brésiliens expliquent que l’entreprise de Mark Zuckerberg détient un quasi-monopole concernant la publicité électorale numérique puisque Google a arrêté ce genre de publicité depuis 2024.

Meta réfute les accusations, invoquant auprès de nos confrères d’Associated Press une série de défaillances techniques mondiales sans lien entre elles, de mesures anti-fraude strictes et du respect des réglementations, plutôt qu’une censure ciblée. Elle affirme que l’une de ces mesures concerne le décompte des vues sur les Reels Instagram dans plus de 100 pays. Un autre aurait perturbé, toujours sur Instagram, la création de publicités reprenant des publications déjà existantes. L’agence de presse pointe que l’entreprise n’a « toutefois pas expliqué pourquoi les comptes Instagram et WhatsApp de Bolsonaro bénéficiaient de recommandations algorithmiques ».

Les arguments de Meta ne semblent pas avoir convaincu les militants de Lula qui ont manifesté devant le siège social brésilien de l’entreprise.

OpenBSD n’est pas un système que l’on croise forcément tous les jours, à moins d’exercer un métier spécifique, notamment dans les réseaux. Ce système Unix s’est fait un nom depuis longtemps dans ce domaine, ses composants étant régulièrement repris dans de nombreux équipements.

Quand une nouvelle version arrive, sa liste de modifications est donc un peu « aride ». On trouve certes une mise à jour générale des applications et composants : Chromium 154, Firefox 157, GNOME 49, KDE Plasma 6.7.5, GCC 16.1.0, LLVM 21.1.8 et 22.1.8, Go 1.27.1, Rust 1.98.1, Python 3.14.7 ou encore PostgreSQL 18.6 dans le cas présent.

Les nouveautés les plus significatives sont cependant sous le capot. Sur l’architecture amd64 (soit l’écrasante majorité des PC aujourd’hui), l’espace d’adressage virtuel du noyau passe ainsi de 4 à 512 Go, augmentant d’autant le mappage de la mémoire vidéo. On note une amélioration des performances de chiffrement sur amd64 et arm64, OpenBSD se servant désormais des instructions AES matérielles du processeur. Sur arm64, l’hibernation fait son entrée.

Nous n’allons pas lister toutes les améliorations, mais en voici plusieurs : un pilote drm resynchronisé avec le noyau Linux 6.18.53, le support par vmd d’un maximum de 64 processeurs virtuels par machine invitée, les interruptions MSI/MSI-X pour virtio et le déchargement du calcul des sommes de contrôle, l’acceptation des en-têtes HTTP personnalisés par httpd, l’arrivée d’OpenSSH 106 et de LibreSSL 4.4.0, ou encore un grand nombre de correctifs.

L’équipe de contributeurs a également mis en ligne une procédure pour mettre à jour l’actuel OpenBSD 7.9 vers cette nouvelle version 8.0.

Coucou NVIDIA

Amazon Web Services a présenté un nouveau projet open source, TorchNeuron. Il se propose de simplifier le passage aux puces Trainium d’AWS pour entrainer les modèles. Bien que NVIDIA ne soit pas nommée, le projet est clairement pensé comme une alternative à CUDA.

PyTorch est initialement une bibliothèque logicielle créée par Meta (Facebook à l’époque). Depuis 2022, elle dépend de la Linux Foundation, tant elle est devenue importante. Elle sert en effet à construire et entraîner des modèles d’intelligence artificielle.

Cette bibliothèque est l’une des raisons pour lesquelles NVIDIA est autant sur le devant de la scène aujourd’hui. Entre PyTorch et le matériel utilisé pour les opérations, il faut justement une couche logicielle pour traduire les opérations en instructions que ce matériel peut comprendre. C’est précisément ce que fait CUDA depuis longtemps chez NVIDIA. Cette technologie propriétaire de type GPGPU (General-Purpose Computing on Graphics Processing Units) sert à faire basculer sur le GPU des calculs qui seraient autrement destinés au CPU.

Sans le dire aussi clairement, c’est ce lien fort qu’AWS veut remettre en question avec TorchNeuron, comme le relève notamment TechCrunch.

Direction les puces Trainium

Amazon Web Services dispose de ses propres puces en matière d’IA : les Trainium, dont la troisième génération a été lancée en décembre 2025. Ces puces peuvent servir aussi bien à l’entraînement qu’à l’inférence. Amazon n’est pas la seule entreprise à concevoir ses propres puces dans ce domaine : Microsoft possède Maia et Google a ses TPU (Tensor Process Units).

TorchNeuron est ainsi aux puces Trainium ce que CUDA est à NVIDIA, une couche de traduction. Elle s’appuie sur le mécanisme d’extension que PyTorch propose pour accueillir du matériel tiers et propose aux développeurs – dans le cas le plus simple – de remplacer dans leur code le périphérique cible cuda par neuron.

Est-ce aussi simple ? En théorie oui, mais l’exemple cité par AWS montre que la situation est plus complexe en pratique. Le billet évoque en effet le cas de Deepgram, un concurrent d’ElevenLabs dans le secteur de la synthèse vocale. Ainsi, non seulement certaines fonctions de PyTorch ne sont pas encore prises en charge, mais une partie des tests officiels de PyTorch est tout simplement ignorée, faute de traduction d’une partie des opérateurs de calcul. Deepgram est mis en avant comme ayant réussi à obtenir 70 % d’audio en plus pour chaque dollar dépensé, mais la mise en place de ce flux de travail a nécessité plusieurs mois de travail.

Boire au goulot

Officiellement, Amazon met en avant la réduction du coût de changement de puce pour les développeurs. Ces derniers seraient ainsi plus libres de comparer les options qui s’offrent à eux. Si l’on peut changer de puce sans pénalité particulière, les fabricants doivent mériter la clientèle, affirme même Amazon.

Auprès de TechCrunch, Colin Brace d’Annapurna Labs (la filiale qui conçoit les puces d’Amazon) met bien sûr en avant l’infrastructure et l’écosystème d’AWS. En outre, le responsable pointe la possibilité d’utiliser la même puce pour l’entraînement et l’inférence, avec à la clé la possibilité de réaffecter la capacité inutilisée.

La lutte contre la dépendance à NVIDIA s’inscrit en filigrane dans l’annonce, de manière plus ou moins intense selon les passages. L’un d’entre eux est cependant très clair : « L’approche d’Amazon va au-delà de son propre matériel. L’entreprise apporte des modifications en amont de PyTorch lui-même, en travaillant avec la communauté PyTorch pour supprimer le code liant le framework à des puces spécifiques. L’objectif est de rendre PyTorch plus indépendant du matériel pour toute la communauté des développeurs, pas seulement pour les utilisateurs de Trainium ». Une précision qui n’est pas tellement « pour » les utilisateurs de Trainium que « contre » NVIDIA, car cette dépendance peut signifier une configuration plus longue.

Cette lutte à peine voilée n’est pas le seul élément masqué. Sans même parler d’arracher les clients à un écosystème pour les plonger dans le sien, Amazon doit se débarrasser d’un goulot d’étranglement. L’intérêt des puces Trainium est en effet d’autant plus réduit que les clients ne peuvent pas les utiliser facilement. C’est ce goulot que NeuronTorch doit essayer de lever. AWS essaye donc de réaliser un coup double : réduire les spécificités de PyTorch pour CUDA et fluidifier l’accès à ses puces.

TorchNeuron est cependant un projet neuf. Le code est présenté sous licence Apache 2.0 (open source) dans un dépôt GitHub ouvert le 17 octobre, même si AWS annonce sa disponibilité pour le 20 octobre. Dans sa forme actuelle, le projet prend en charge les puces Trainium 2 et 3. Reste pour Amazon à concrétiser sa vision en alimentant son projet, dont le succès dépendra de l’adoption par les développeurs concernés.

Les GAFAM et les agents d'abord

Un mois après avoir demandé à effectuer une « pause » au vu des risques que poseraient les IA les plus avancées, Anthropic a rédigé un projet de loi de régulation. Il prévoit de permettre aux États-Unis de bloquer celles qui pourraient tuer ou blesser gravement « plus de 50 personnes », ou causer « plus d’un milliard de dollars de dommages », mais limite le montant des amendes à 0,2 % de leurs revenus.

POLITICO s’est procuré le projet confidentiel de régulation de la sécurité et de la sûreté des IA (« AI safety » en VO) de pointe qu’Anthropic a discrètement présenté à des représentants du Congrès états-unien. Une initiative qui intervient un peu plus d’un mois après que Dario Amodei a appelé à faire une « pause » dans le développement des IA (quand bien même leurs dépenses montrent l’inverse), puis que les patrons de l’IA ont réclamé une régulation mondiale à l’ONU.

• Anthropic, OpenAI et Elon Musk veulent ralentir sur l’IA, la Maison-Blanche dit non
• À l’ONU, les patrons de l’IA réclament une régulation mondiale

L’objectif serait de permettre au gouvernement d’émettre un « ordre de blocage » de mise sur le marché ou d’utilisation d’un modèle « uniquement si celui-ci présente un risque prévisible et imminent de causer plus d’un milliard de dollars de dommages, ou de tuer ou de blesser gravement plus de 50 personnes », souligne POLITICO.

Ce type de « risque catastrophique » est cela dit cantonné à trois possibilités limitatives : « fournir une assistance de niveau expert dans la création ou la libération d’un produit chimique, arme biologique, radiologique, cybernétique ou nucléaire » (NRBC), « s’engager, sans surveillance, intervention ou supervision humaine significative, dans une cyberattaque », ou bien « échapper au contrôle de son développeur ou utilisateur ». La proposition exclut en outre toute « activité légale du gouvernement fédéral ».

« En d’autres termes, si un modèle semblait susceptible de tuer ou de blesser gravement seulement quelques personnes, ou de causer des dégâts matériels d’une valeur inférieure à un milliard de dollars, le gouvernement ne serait pas en mesure de le réglementer », ironise de son côté Mother Jones.

Pour rappel, le PDG d’Anthropic, Dario Amodei, qui n’avait « jamais soulevé d’objections à l’égard d’opérations militaires », avait déjà refusé, en février dernier, que ses IA puissent être utilisées pour de la surveillance de masse à l’intérieur du pays, ainsi que par des armes totalement autonomes.

Donald Trump avait alors publiquement ordonné à toutes les agences des États-Unis de cesser d’utiliser Claude et les produits d’intelligence artificielle d’Anthropic en février dernier, le qualifiant de « fournisseur à risque pour la sécurité nationale ».

• Donald Trump ordonne à toutes les administrations US de rompre avec Anthropic
• Derrière la polémique entre Trump et Anthropic, les enjeux de l’usage militaire de l’IA

Des amendes plafonnées à 0,2 % du revenu annuel, et conditionnées

POLITICO relève par ailleurs qu’Anthropic propose aussi que des évaluateurs indépendants, enregistrés auprès du ministère du Commerce, soient par ailleurs chargés d’évaluer périodiquement le laboratoire et ses modèles de pointe. Le document précise que ces évaluateurs pourraient être rémunérés par le laboratoire lui-même, à condition que cette rémunération ne dépende pas des résultats des évaluations.

En cas de « risque imminent et précis », ces évaluateurs devraient le signaler dans les 72 heures suivant la fin de leur évaluation au ministère du Commerce. Ce dernier pourrait de son côté demander au juge de suspendre la mise sur le marché d’un modèle présentant un risque. Le texte interdit par contre explicitement à tout autre ministère, agence ou fonctionnaire de suspendre le développement, le déploiement ou l’utilisation interne d’un modèle.