Le chien de Pandore

Robots aspirateurs, tondeuses connectées, caméras, sonnettes, capteurs… le célèbre Internet des objets offre des possibilités fascinantes pour améliorer le confort du foyer au quotidien, mais il se gagne bien souvent au prix de compromis aussi inacceptables que passés sous silence en matière de sécurité et de vie privée. Le problème n’est toutefois pas inéluctable… pour peu qu’on s’en empare.

Si j’étais de mauvaise foi, je dirais que tout ça c’est la faute du chien, mais comme en vrai il n’y est pour rien, il vaut mieux que je vous explique. Il se trouve que dans la vraie vie, j’ai trois jeunes enfants très dynamiques, et depuis dix-huit mois environ, un chien. Un épagneul breton, pedigree SPA. Comme tous les épagneuls bretons, il est sympa, têtu et un brin hyperactif. C’est-à-dire qu’il pionce la moitié de la journée, mais quand il se réveille, il se transforme en tornade, et pour peu qu’une baie vitrée soit ouverte après la pluie, le parquet du salon se retrouve rapidement constellé de traces de patte.

Ajoutez à ça qu’il perd toute l’année autant de poils qu’un mammouth laineux en pleine mue, et vous comprendrez que mon sol intérieur n’est pas exactement d’une propreté clinique. Perso, j’ai un seuil de tolérance assez élevé et je trouve ce petit tapis de poils plutôt confortable sous les pieds, surtout en hiver, mais il se trouve que je partage ma vie avec quelqu’un d’un peu moins dilettante sur le sujet, et que certains enfants donnent des signes d’allergie. Accessoirement, il y a un consensus familial : tout le monde déteste passer le balai. Bref, la paix du ménage passe par l’achat d’un aspirateur robot.

Sur le principe, je n’ai rien contre. Il se trouve que cet été, j’ai déjà entrepris de connecter certains éléments de la maison, histoire de programmer l’ouverture des volets le matin, ou d’éteindre à distance les lumières laissées allumées par les enfants quand ils s’endorment le nez dans leur bouquin. Je fais ça via Home Assistant, qui tourne sur un petit serveur domestique, et comme je suis tombé dans un véritable rabbit hole, je serais ravi d’intégrer un aspirateur robot dans les automatisations en cours de construction.

Mais des principes, j’en ai quelques-uns. En matière de domotique, le premier d’entre eux consiste à protéger mordicus le caractère privé de mon foyer : tous mes équipements doivent fonctionner en local. Ça n’exclut pas des possibilités de contrôle à distance, notamment pour la sécurité, mais ces dernières doivent être strictement cantonnées aux deux adultes de la maison.

Control freak ?

Pourquoi ériger ça en principe cardinal ? Mettez ça sur le compte d’une déformation professionnelle. Sur Next et ailleurs, j’ai eu l’occasion de couvrir à de multiples reprises des incidents de sécurité impliquant des objets connectés, avec à chaque fois de graves implications potentielles en matière de vie privée. Le dernier exemple en date vient d’être publié : des failles de sécurité exposaient complètement la gamme de robots tondeuse Mammotion. Un peu plus tôt cette année, j’ai eu l’occasion de relater en détail la découverte de vulnérabilités béantes au niveau d’une infrastructure gérant des centaines de milliers de caméras IP et de babyphones connectés à l’échelle mondiale.

Impossible, faute de temps, de les traiter systématiquement, mais la rédaction voit passer presque toutes les semaines des alertes de sécurité relatives à des objets connectés du quotidien.

Le phénomène m’inquiète à au moins trois titres. Le premier, c’est qu’il concerne aussi bien les produits chinois premier prix que les appareils vendus à prix d’or par des marques renommées. Outre Mammotion, et ses tondeuses à 2 000 euros, vous avez peut-être vu passer en début d’année cette info selon laquelle un développeur a découvert presque par inadvertance qu’il pouvait prendre le contrôle à distance de près de 7 000 aspirateurs robots haut de gamme DJI.

Le deuxième motif d’inquiétude, c’est que les constructeurs concernés réagissent avec une diligence toute relative aux alertes. Si DJI a très vite corrigé les failles de ses robots en se coordonnant avec l’auteur de la découverte, d’autres lambinent, et mettent des semaines, voire des mois, à combler des failles pourtant béantes. L’examen des vulnérabilités en question participe de mes angoisses : on ne parle pas d’attaques sophistiquées, menées à grands coups de rootkits et de virus. Les portes sont souvent liées à des identifiants laissés en clair dans le code et à l’oubli de protections pourtant basiques dans le monde des réseaux.

Le troisième point découle du deuxième, en lien avec les possibilités offertes par l’IA. Je ne parle pas des Mythos, Fable, Atlas et autres modèles de pointe qui alimentent les discours ambigus des acteurs spécialisés en matière de cybersécurité. Non, je fais référence à un Claude ou ChatGPT courant qui, correctement interrogé, est capable en quelques prompts de disséquer le code d’une application mobile pour en identifier tous les éléments problématiques. Je dis ça en connaissance de cause, puisque je l’ai fait pour contrôler certaines des allégations relatives aux failles de sécurité mentionnées plus haut, ou pour vérifier l’histoire de ce prestataire des dispensaires de cannabis qui stockait en clair les pièces d’identité de ses clients…

Le piège de la simplicité

Dans la grande famille des objets connectés, plusieurs ont besoin de « voir » chez moi pour faire leur boulot, à commencer bien sûr par les caméras de vidéosurveillance. Les robots aspirateurs ou robots tondeuses s’y mettent aussi : pour mieux détecter leur environnement, les meubles ou les objets laissés au sol, ils s’appuient sur des batteries de capteurs, notamment optiques. Cette capacité est attendue, et bienvenue, mais elle s’accompagne d’une zone d’ombre : où sont opérés les traitements informatiques nécessaires à la détection de mouvement de la caméra, ou à l’analyse des objets observés par le robot aspirateur ?

La question n’est pas anodine. Comme beaucoup, j’ai attaqué le sujet de la vidéosurveillance chez moi avec une caméra IP Wi-Fi chopée à l’occasion d’une promo sur Internet il y a quelques années. Pour l’utiliser, je devais passer par l’application mobile du constructeur : c’est elle qui permet de recevoir les images ou les alertes à distance. Lors de l’installation, je suis passé rapidement sur les conditions d’utilisation et le parcours d’explications qui mentionnaient vaguement une possibilité de stockage dans le cloud, pressé que j’étais d’en tester le fonctionnement. C’est après coup, au moment de me connecter pour la première fois à distance à la caméra, que je me suis dit « hey, mais au fait, elles passent par où les images ? ».

Mon illumination est rhétorique : je sais très bien que ces images transitent par un serveur distant (le cloud du fabricant), qui gère ensuite l’envoi d’une alerte sur mon téléphone. Ce qui est moins évident en revanche, c’est ce qu’il advient des images ainsi envoyées : sont-elles stockées, analysées, utilisées à des fins d’entraînement, ou autre ? Et accessoirement, qui peut y accéder ? Compte tenu des nombreuses failles évoquées plus haut, il y a un risque, difficile à mesurer mais confirmé par l’expérience, que des images de mon intérieur circulent auprès de personnes malintentionnées. Bon, à la rigueur, s’il s’agit du portrait d’un cambrioleur ou de la langue pendante du chien, je m’en remettrai. Mais si ce sont mes enfants qui déclenchent la détection de mouvement, c’est une autre paire de manches. Exit la caméra premier prix.

Il se trouve que moi, comme bon nombre de lecteurs de Next sans doute, je suis sensibilisé à ces questions. Je suis aussi en mesure de circonvenir le problème. Je dispose chez moi de l’équipement nécessaire pour créer un réseau local privé, coupé d’Internet. Mes nouvelles caméras IP envoient désormais leurs images vers mon serveur domestique, sur lequel un logiciel déconnecté d’Internet, Frigate, réalise la détection de mouvement et peut, au besoin, déclencher via Home Assistant une alerte vers nos deux téléphones.

Pour un geek, cette configuration n’est pas particulièrement complexe (un routeur capable de gérer plusieurs réseaux locaux, des caméras choisies pour leur capacité à travailler en local, un serveur domestique chargé de coordonner l’ensemble), mais elle n’est pas triviale. D’abord parce qu’elle suppose une réflexion préalable, et quelques heures de paramétrage. Ensuite, parce qu’elle représente un investissement financier non négligeable, de l’ordre de quelques centaines d’euros.

Revenons-en à nos poils de chien

Revenons à nos moutons, ou plutôt à nos poils de chien. Ce n’est jamais expliqué très clairement dans les modes d’emploi, mais les aspirateurs robots fonctionnent un peu comme les caméras IP : ils disposent de commandes locales (les boutons physiques par exemple) et parfois d’intégrations dans des applications domotiques (Home Assistant, Apple HomeKit), mais le plus souvent, les fonctions avancées (détection d’objets, programmation pièce par pièce) ne sont accessibles qu’au travers de l’application mobile du fabricant, soi-disant parce qu’elles supposent des traitements réalisés à distance, sur ses propres infrastructures informatiques.

Qu’à cela ne tienne, je vais faire comme avec mes caméras : chercher un modèle d’aspirateur répondant à mes attentes (capacité à vider son bac à poussières à sa base, serpillière, gestion d’une programmation à distance pièce par pièce, cartographie de la maison pour optimiser le parcours, intégration dans Home Assistant pour éviter l’enfermement dans un écosystème propriétaire), mais avec un fonctionnement exclusivement en local, c’est-à-dire isolé d’Internet.

La démarche est aussi un enjeu de pérennité : s’il tourne uniquement en local, mon robot est à l’abri d’une éventuelle panne du cloud, ou d’une fermeture décidée arbitrairement par son fabricant (n’est-ce pas, les éditeurs de jeux vidéo ?).

Bref, deux-trois recherches sur Internet devraient bien me permettre de trouver ça ? Que nenni.

J’ai d’abord consulté quelques tests récents de médias tech, pour essayer d’isoler un ou deux robots considérés comme de bons rapports qualité-prix, sachant que je ne souhaite pas dépenser une somme à quatre chiffres pour une serpillière à roulettes. J’ai bien noté quelques références intéressantes saluées pour leur autonomie, leur aspiration ou leur gestion des obstacles, mais aucun des articles concernés n’abordait la question de la confidentialité. Seule exception : les tests et actus consacrés à l’entreprise états-unienne Matic, qui revendique une approche privacy first, mais ne distribue pas ses robots sur le Vieux Continent.

Je me suis donc tourné vers les forums et Reddit, où d’autres se sont déjà posé la même question. Et j’ai découvert, un peu surpris, qu’il n’y avait pas de solution évidente. Ou plutôt, pas de solution sans compromis.

Je vous la fais courte : la quasi-totalité des robots du marché qui disposent de fonctionnalités avancées imposent l’utilisation de l’application dédiée, et donc l’exploitation de données dans le cloud. Les fabricants présentent généralement ça comme une nécessité technique, et assurent offrir des garanties de pseudonymisation, voire des flux chiffrés, mais ils refusent que l’on coupe le cordon.

À défaut, le robot est limité à des fonctions de base (qui peuvent se révéler suffisantes mais ne répondent pas à mes attentes). Certains modèles récents affichent une compatibilité avec la norme Matter pour permettre un contrôle local natif plus étendu, en Wi-Fi ou en Thread, mais là aussi le niveau de contrôle reste limité.

Pour celui ou celle qui voudrait aller plus loin, la voie la plus complète, mais aussi la plus complexe, consiste à rooter l’appareil (remplacer son logiciel par une alternative non officielle). Plusieurs modèles courants (Dreame, Ecovacs, Roborock, Eureka) peuvent être déverrouillés au moyen du firmware Valetudo, mais la manipulation revêt plus ou moins de complexité selon les robots.

Pour certains, un simple flash via un PC sous Linux suffit. Pour d’autres, il faut intervenir physiquement sur la carte mère et donc rompre les scellés de garantie. Il y a quelque chose d’assez satisfaisant dans le fait de voir qu’une initiative particulière permet de court-circuiter le verrouillage orchestré par toute une industrie, mais celle-ci n’est valable que sur certains modèles (et parfois même uniquement sur certaines générations d’un modèle donné), et la manipulation a de quoi refroidir bon nombre d’utilisateurs néophytes.

Si l’on écarte cette piste « expert », l’acquéreur potentiel de robot aspirateur se retrouve confronté à trois choix : accepter de laisser ses données circuler vers un cloud extérieur, tirer un trait sur une partie des fonctionnalités associées, ou tout simplement continuer à passer l’aspirateur à la main. En ces temps qui imposent de réfléchir à l’impact environnemental de la tech, la dernière n’est probablement pas la plus mauvaise des solutions.

Reste que si l’on souhaite tout de même s’équiper, l’industrie nous place face à un choix cornélien : fonctions avancées ou vie privée ? De mon côté, je sais que je ne transigerai pas. Je me prépare donc soit à chercher un robot à prix raisonnable susceptible de passer par la case Valetudo, soit à compromettre les relations diplomatiques familiales en opposant mon veto au robot.

De la nécessité d’informer correctement

Chacun prend bien les risques qu’il souhaite, tant qu’il les a correctement soupesés. Avant de m’équiper plus sérieusement, j’ai utilisé pendant quelques semaines mes caméras connectées avec la Chine, parce qu’elles me rendaient un service dont j’estimais avoir besoin, mais je l’ai fait de façon précautionneuse, en veillant à n’activer les appareils que quand la maison était vide de tout occupant.

Ce qui m’ennuie, et motive en réalité ce long laïus, ce sont tous les utilisateurs d’objets connectés qui acceptent tacitement d’exposer leur vie privée à un risque parce qu’on ne leur a pas expliqué la nature du risque en question. J’ai posé quelques questions naïves à des gens de mon entourage ces dernières semaines, en mode : « Au fait, tu es sûr que c’est sécurisé ton robot ? Il a quand même une caméra et des fonctions qui permettent d’en prendre le contrôle à distance ? ». Dans certains cas, j’ai eu droit à des retours de type : « Ho ben oui, l’application est sur mon téléphone protégé par mot de passe, donc c’est sûr ».

Mauvaise réponse :/

La situation n’a cependant rien d’inéluctable.

Du côté des particuliers, il me semble primordial de sensibiliser sans relâche sur le sujet, et c’est bien sûr l’objectif premier de cet édito. Je prêche probablement des convaincus parmi les lecteurs assidus de Next, mais puisse ce texte contribuer à informer des internautes moins au fait des subtilités techniques de nos objets connectés.

Je profite de l’occasion pour en appeler à mes consœurs et confrères de la presse : bon nombre de médias consacrent d’innombrables news, tests et bons plans relatifs aux aspirateurs robots. Pourquoi ne pas intégrer à vos revues un paragraphe et des éléments de notation spécifiques au respect de la vie privée et à la confidentialité des données ? Vos tests y gagneraient en qualité, et n’y perdraient probablement pas tant que ça en conversion vers des liens affiliés.

Le dernier message s’adresse aux fabricants, avec un premier appel évident : quand allez-vous enfin prendre le mors aux dents et faire une passe complète d’audits sur vos outils afin d’en améliorer la sécurité ? Au-delà de cette simple mesure de bon sens, vous avez une carte à jouer en proposant des produits intelligents, mais véritablement respectueux de la vie privée. Plutôt que de simplement respecter a minima les exigences du RGPD ou du futur Cyber Resilience Act (CRA), faites de la confidentialité un argument commercial.

Si vous ne le faites pas pour vous, faites-le pour la paix de mon ménage !

Le chien de Pandore

Robots aspirateurs, tondeuses connectées, caméras, sonnettes, capteurs… le célèbre Internet des objets offre des possibilités fascinantes pour améliorer le confort du foyer au quotidien, mais il se gagne bien souvent au prix de compromis aussi inacceptables que passés sous silence en matière de sécurité et de vie privée. Le problème n’est toutefois pas inéluctable… pour peu qu’on s’en empare.

Si j’étais de mauvaise foi, je dirais que tout ça c’est la faute du chien, mais comme en vrai il n’y est pour rien, il vaut mieux que je vous explique. Il se trouve que dans la vraie vie, j’ai trois jeunes enfants très dynamiques, et depuis dix-huit mois environ, un chien. Un épagneul breton, pedigree SPA. Comme tous les épagneuls bretons, il est sympa, têtu et un brin hyperactif. C’est-à-dire qu’il pionce la moitié de la journée, mais quand il se réveille, il se transforme en tornade, et pour peu qu’une baie vitrée soit ouverte après la pluie, le parquet du salon se retrouve rapidement constellé de traces de patte.

Ajoutez à ça qu’il perd toute l’année autant de poils qu’un mammouth laineux en pleine mue, et vous comprendrez que mon sol intérieur n’est pas exactement d’une propreté clinique. Perso, j’ai un seuil de tolérance assez élevé et je trouve ce petit tapis de poils plutôt confortable sous les pieds, surtout en hiver, mais il se trouve que je partage ma vie avec quelqu’un d’un peu moins dilettante sur le sujet, et que certains enfants donnent des signes d’allergie. Accessoirement, il y a un consensus familial : tout le monde déteste passer le balai. Bref, la paix du ménage passe par l’achat d’un aspirateur robot.

Sur le principe, je n’ai rien contre. Il se trouve que cet été, j’ai déjà entrepris de connecter certains éléments de la maison, histoire de programmer l’ouverture des volets le matin, ou d’éteindre à distance les lumières laissées allumées par les enfants quand ils s’endorment le nez dans leur bouquin. Je fais ça via Home Assistant, qui tourne sur un petit serveur domestique, et comme je suis tombé dans un véritable rabbit hole, je serais ravi d’intégrer un aspirateur robot dans les automatisations en cours de construction.

Mais des principes, j’en ai quelques-uns. En matière de domotique, le premier d’entre eux consiste à protéger mordicus le caractère privé de mon foyer : tous mes équipements doivent fonctionner en local. Ça n’exclut pas des possibilités de contrôle à distance, notamment pour la sécurité, mais ces dernières doivent être strictement cantonnées aux deux adultes de la maison.

Control freak ?

Pourquoi ériger ça en principe cardinal ? Mettez ça sur le compte d’une déformation professionnelle. Sur Next et ailleurs, j’ai eu l’occasion de couvrir à de multiples reprises des incidents de sécurité impliquant des objets connectés, avec à chaque fois de graves implications potentielles en matière de vie privée. Le dernier exemple en date vient d’être publié : des failles de sécurité exposaient complètement la gamme de robots tondeuse Mammotion. Un peu plus tôt cette année, j’ai eu l’occasion de relater en détail la découverte de vulnérabilités béantes au niveau d’une infrastructure gérant des centaines de milliers de caméras IP et de babyphones connectés à l’échelle mondiale.

Impossible, faute de temps, de les traiter systématiquement, mais la rédaction voit passer presque toutes les semaines des alertes de sécurité relatives à des objets connectés du quotidien.

Le phénomène m’inquiète à au moins trois titres. Le premier, c’est qu’il concerne aussi bien les produits chinois premier prix que les appareils vendus à prix d’or par des marques renommées. Outre Mammotion, et ses tondeuses à 2 000 euros, vous avez peut-être vu passer en début d’année cette info selon laquelle un développeur a découvert presque par inadvertance qu’il pouvait prendre le contrôle à distance de près de 7 000 aspirateurs robots haut de gamme DJI.

Le deuxième motif d’inquiétude, c’est que les constructeurs concernés réagissent avec une diligence toute relative aux alertes. Si DJI a très vite corrigé les failles de ses robots en se coordonnant avec l’auteur de la découverte, d’autres lambinent, et mettent des semaines, voire des mois, à combler des failles pourtant béantes. L’examen des vulnérabilités en question participe de mes angoisses : on ne parle pas d’attaques sophistiquées, menées à grands coups de rootkits et de virus. Les portes sont souvent liées à des identifiants laissés en clair dans le code et à l’oubli de protections pourtant basiques dans le monde des réseaux.

Le troisième point découle du deuxième, en lien avec les possibilités offertes par l’IA. Je ne parle pas des Mythos, Fable, Atlas et autres modèles de pointe qui alimentent les discours ambigus des acteurs spécialisés en matière de cybersécurité. Non, je fais référence à un Claude ou ChatGPT courant qui, correctement interrogé, est capable en quelques prompts de disséquer le code d’une application mobile pour en identifier tous les éléments problématiques. Je dis ça en connaissance de cause, puisque je l’ai fait pour contrôler certaines des allégations relatives aux failles de sécurité mentionnées plus haut, ou pour vérifier l’histoire de ce prestataire des dispensaires de cannabis qui stockait en clair les pièces d’identité de ses clients…

Le piège de la simplicité

Dans la grande famille des objets connectés, plusieurs ont besoin de « voir » chez moi pour faire leur boulot, à commencer bien sûr par les caméras de vidéosurveillance. Les robots aspirateurs ou robots tondeuses s’y mettent aussi : pour mieux détecter leur environnement, les meubles ou les objets laissés au sol, ils s’appuient sur des batteries de capteurs, notamment optiques. Cette capacité est attendue, et bienvenue, mais elle s’accompagne d’une zone d’ombre : où sont opérés les traitements informatiques nécessaires à la détection de mouvement de la caméra, ou à l’analyse des objets observés par le robot aspirateur ?

La question n’est pas anodine. Comme beaucoup, j’ai attaqué le sujet de la vidéosurveillance chez moi avec une caméra IP Wi-Fi chopée à l’occasion d’une promo sur Internet il y a quelques années. Pour l’utiliser, je devais passer par l’application mobile du constructeur : c’est elle qui permet de recevoir les images ou les alertes à distance. Lors de l’installation, je suis passé rapidement sur les conditions d’utilisation et le parcours d’explications qui mentionnaient vaguement une possibilité de stockage dans le cloud, pressé que j’étais d’en tester le fonctionnement. C’est après coup, au moment de me connecter pour la première fois à distance à la caméra, que je me suis dit « hey, mais au fait, elles passent par où les images ? ».

Mon illumination est rhétorique : je sais très bien que ces images transitent par un serveur distant (le cloud du fabricant), qui gère ensuite l’envoi d’une alerte sur mon téléphone. Ce qui est moins évident en revanche, c’est ce qu’il advient des images ainsi envoyées : sont-elles stockées, analysées, utilisées à des fins d’entraînement, ou autre ? Et accessoirement, qui peut y accéder ? Compte tenu des nombreuses failles évoquées plus haut, il y a un risque, difficile à mesurer mais confirmé par l’expérience, que des images de mon intérieur circulent auprès de personnes malintentionnées. Bon, à la rigueur, s’il s’agit du portrait d’un cambrioleur ou de la langue pendante du chien, je m’en remettrai. Mais si ce sont mes enfants qui déclenchent la détection de mouvement, c’est une autre paire de manches. Exit la caméra premier prix.

Il se trouve que moi, comme bon nombre de lecteurs de Next sans doute, je suis sensibilisé à ces questions. Je suis aussi en mesure de circonvenir le problème. Je dispose chez moi de l’équipement nécessaire pour créer un réseau local privé, coupé d’Internet. Mes nouvelles caméras IP envoient désormais leurs images vers mon serveur domestique, sur lequel un logiciel déconnecté d’Internet, Frigate, réalise la détection de mouvement et peut, au besoin, déclencher via Home Assistant une alerte vers nos deux téléphones.

Pour un geek, cette configuration n’est pas particulièrement complexe (un routeur capable de gérer plusieurs réseaux locaux, des caméras choisies pour leur capacité à travailler en local, un serveur domestique chargé de coordonner l’ensemble), mais elle n’est pas triviale. D’abord parce qu’elle suppose une réflexion préalable, et quelques heures de paramétrage. Ensuite, parce qu’elle représente un investissement financier non négligeable, de l’ordre de quelques centaines d’euros.

Revenons-en à nos poils de chien

Revenons à nos moutons, ou plutôt à nos poils de chien. Ce n’est jamais expliqué très clairement dans les modes d’emploi, mais les aspirateurs robots fonctionnent un peu comme les caméras IP : ils disposent de commandes locales (les boutons physiques par exemple) et parfois d’intégrations dans des applications domotiques (Home Assistant, Apple HomeKit), mais le plus souvent, les fonctions avancées (détection d’objets, programmation pièce par pièce) ne sont accessibles qu’au travers de l’application mobile du fabricant, soi-disant parce qu’elles supposent des traitements réalisés à distance, sur ses propres infrastructures informatiques.

Qu’à cela ne tienne, je vais faire comme avec mes caméras : chercher un modèle d’aspirateur répondant à mes attentes (capacité à vider son bac à poussières à sa base, serpillière, gestion d’une programmation à distance pièce par pièce, cartographie de la maison pour optimiser le parcours, intégration dans Home Assistant pour éviter l’enfermement dans un écosystème propriétaire), mais avec un fonctionnement exclusivement en local, c’est-à-dire isolé d’Internet.

La démarche est aussi un enjeu de pérennité : s’il tourne uniquement en local, mon robot est à l’abri d’une éventuelle panne du cloud, ou d’une fermeture décidée arbitrairement par son fabricant (n’est-ce pas, les éditeurs de jeux vidéo ?).

Bref, deux-trois recherches sur Internet devraient bien me permettre de trouver ça ? Que nenni.

J’ai d’abord consulté quelques tests récents de médias tech, pour essayer d’isoler un ou deux robots considérés comme de bons rapports qualité-prix, sachant que je ne souhaite pas dépenser une somme à quatre chiffres pour une serpillière à roulettes. J’ai bien noté quelques références intéressantes saluées pour leur autonomie, leur aspiration ou leur gestion des obstacles, mais aucun des articles concernés n’abordait la question de la confidentialité. Seule exception : les tests et actus consacrés à l’entreprise états-unienne Matic, qui revendique une approche privacy first, mais ne distribue pas ses robots sur le Vieux Continent.

Je me suis donc tourné vers les forums et Reddit, où d’autres se sont déjà posé la même question. Et j’ai découvert, un peu surpris, qu’il n’y avait pas de solution évidente. Ou plutôt, pas de solution sans compromis.

Je vous la fais courte : la quasi-totalité des robots du marché qui disposent de fonctionnalités avancées imposent l’utilisation de l’application dédiée, et donc l’exploitation de données dans le cloud. Les fabricants présentent généralement ça comme une nécessité technique, et assurent offrir des garanties de pseudonymisation, voire des flux chiffrés, mais ils refusent que l’on coupe le cordon.

À défaut, le robot est limité à des fonctions de base (qui peuvent se révéler suffisantes mais ne répondent pas à mes attentes). Certains modèles récents affichent une compatibilité avec la norme Matter pour permettre un contrôle local natif plus étendu, en Wi-Fi ou en Thread, mais là aussi le niveau de contrôle reste limité.

Pour celui ou celle qui voudrait aller plus loin, la voie la plus complète, mais aussi la plus complexe, consiste à rooter l’appareil (remplacer son logiciel par une alternative non officielle). Plusieurs modèles courants (Dreame, Ecovacs, Roborock, Eureka) peuvent être déverrouillés au moyen du firmware Valetudo, mais la manipulation revêt plus ou moins de complexité selon les robots.

Pour certains, un simple flash via un PC sous Linux suffit. Pour d’autres, il faut intervenir physiquement sur la carte mère et donc rompre les scellés de garantie. Il y a quelque chose d’assez satisfaisant dans le fait de voir qu’une initiative particulière permet de court-circuiter le verrouillage orchestré par toute une industrie, mais celle-ci n’est valable que sur certains modèles (et parfois même uniquement sur certaines générations d’un modèle donné), et la manipulation a de quoi refroidir bon nombre d’utilisateurs néophytes.

Si l’on écarte cette piste « expert », l’acquéreur potentiel de robot aspirateur se retrouve confronté à trois choix : accepter de laisser ses données circuler vers un cloud extérieur, tirer un trait sur une partie des fonctionnalités associées, ou tout simplement continuer à passer l’aspirateur à la main. En ces temps qui imposent de réfléchir à l’impact environnemental de la tech, la dernière n’est probablement pas la plus mauvaise des solutions.

Reste que si l’on souhaite tout de même s’équiper, l’industrie nous place face à un choix cornélien : fonctions avancées ou vie privée ? De mon côté, je sais que je ne transigerai pas. Je me prépare donc soit à chercher un robot à prix raisonnable susceptible de passer par la case Valetudo, soit à compromettre les relations diplomatiques familiales en opposant mon veto au robot.

De la nécessité d’informer correctement

Chacun prend bien les risques qu’il souhaite, tant qu’il les a correctement soupesés. Avant de m’équiper plus sérieusement, j’ai utilisé pendant quelques semaines mes caméras connectées avec la Chine, parce qu’elles me rendaient un service dont j’estimais avoir besoin, mais je l’ai fait de façon précautionneuse, en veillant à n’activer les appareils que quand la maison était vide de tout occupant.

Ce qui m’ennuie, et motive en réalité ce long laïus, ce sont tous les utilisateurs d’objets connectés qui acceptent tacitement d’exposer leur vie privée à un risque parce qu’on ne leur a pas expliqué la nature du risque en question. J’ai posé quelques questions naïves à des gens de mon entourage ces dernières semaines, en mode : « Au fait, tu es sûr que c’est sécurisé ton robot ? Il a quand même une caméra et des fonctions qui permettent d’en prendre le contrôle à distance ? ». Dans certains cas, j’ai eu droit à des retours de type : « Ho ben oui, l’application est sur mon téléphone protégé par mot de passe, donc c’est sûr ».

Mauvaise réponse :/

La situation n’a cependant rien d’inéluctable.

Du côté des particuliers, il me semble primordial de sensibiliser sans relâche sur le sujet, et c’est bien sûr l’objectif premier de cet édito. Je prêche probablement des convaincus parmi les lecteurs assidus de Next, mais puisse ce texte contribuer à informer des internautes moins au fait des subtilités techniques de nos objets connectés.

Je profite de l’occasion pour en appeler à mes consœurs et confrères de la presse : bon nombre de médias consacrent d’innombrables news, tests et bons plans relatifs aux aspirateurs robots. Pourquoi ne pas intégrer à vos revues un paragraphe et des éléments de notation spécifiques au respect de la vie privée et à la confidentialité des données ? Vos tests y gagneraient en qualité, et n’y perdraient probablement pas tant que ça en conversion vers des liens affiliés.

Le dernier message s’adresse aux fabricants, avec un premier appel évident : quand allez-vous enfin prendre le mors aux dents et faire une passe complète d’audits sur vos outils afin d’en améliorer la sécurité ? Au-delà de cette simple mesure de bon sens, vous avez une carte à jouer en proposant des produits intelligents, mais véritablement respectueux de la vie privée. Plutôt que de simplement respecter a minima les exigences du RGPD ou du futur Cyber Resilience Act (CRA), faites de la confidentialité un argument commercial.

Si vous ne le faites pas pour vous, faites-le pour la paix de mon ménage !

Extinction du domaine de la lutte

Onze jours après avoir été désigné comme organisation terroriste par l’administration Trump, le collectif hacktiviste d’origine italienne Autistici/Inventati a annoncé mettre un terme à ses activités. Il explique ne plus pouvoir garantir la sécurité de ses membres, mais aussi des utilisateurs de ses services de messagerie ou d’hébergement, qui fermeront bientôt. Dans toute l’Europe, associations et mouvements en faveur des libertés numériques alertent sur cette attaque sans précédent contre un hébergeur alternatif.

Autistici/Inventati (A/I) baisse le rideau. Le collectif, né en Italie, désigné le 26 août dernier comme organisation terroriste par l’administration Trump, affirme ne pas pouvoir être en mesure de garantir la sécurité de ses membres, mais aussi des utilisateurs de ses services. « A/I ferme ses portes. Le collectif Autistici/Inventati cesse ses activités et interrompra prochainement tous les services qu’il propose », explique-t-il dans un billet daté du 6 septembre.

• Les US désignent les hacktivistes d’Autistici/Inventati comme organisation terroriste

Un revirement soudain

Depuis le 26 août, il affichait pourtant sa volonté de résister face à cette désignation, qui a entraîné le gel, via DNS, du nom de domaine de son site principal, autistici.org, puis la suspension de son compte PayPal, et la résiliation des services financiers que lui prodiguait sa banque italienne, Banca Etica.

Le 2 septembre, Autistici/Inventati avait ainsi lancé un nouveau site, keepitfree.ai, pensé spécifiquement pour servir de point de liaison entre le collectif, ses utilisateurs et ses soutiens. Il y rappelait que même si A/I ne peut pas être qualifié de structure « neutre », en raison de son orientation idéologique assumée, la structure n’avait jamais été condamnée pour un quelconque crime, que ce soit aux États-Unis ou en Italie.

Quatre jours plus tard, changement de ton. « La possibilité que notre travail puisse avoir des conséquences juridiques et financières pour nos proches – ou même pour ceux qui ont simplement un lien avec nous – ne nous laisse pas le choix. Chaque jour passé en ligne après le 26 août 2026 a été une victoire, mais nous sommes maintenant contraints d’arrêter », écrit A/I dans le billet qui annonce sa dissolution.

Le collectif annonce dans le même temps la fermeture prochaine de ses services, à commencer par la messagerie autistici.org et la plateforme noblogs.org, et suggère à leurs utilisateurs de prendre les devants en sauvegardant leurs données :

« Nous vous enverrons prochainement des instructions pour sauvegarder le contenu de vos blogs, boîtes mail et sites web, ainsi que des recommandations plus techniques. Cependant, gardez à l’esprit que, tout comme le domaine autistici.org est devenu inaccessible sans préavis, nous pourrions rencontrer des problèmes similaires et imprévisibles dans les prochains jours. »

De nombreux soutiens affichés

L’annonce de la disparition d’A/I intervient alors que de nombreuses structures, associations et collectifs engagés en faveur de la liberté d’expression sur Internet, ont affiché leur soutien explicite. Outre la lettre ouverte de Sabot Media cosignée par Framasoft et la Quadrature du Net entre le 31 août et le 1^er septembre, une trentaine d’organisations ont donné de la voix au travers d’une tribune publiée le 3 septembre par le réseau European Digital Rights (EDRi).

Tous dénoncent une attaque d’une gravité sans précédent contre le principe même de neutralité des infrastructures, et le risque que fait peser la sanction des États-Unis sur tous les fournisseurs de services alternatifs aux acteurs commerciaux dominants.

« Cette décision déplace la responsabilité des actes commis par les hébergés sur les hébergeurs. Et quand la menace qu’on fait peser sur toi est celle d’être qualifié d’organisation terroriste internationale, ce n’est pas la même chose qu’une fermeture administrative, ou qu’une réquisition de la police. Ici, la sanction est d’une violence extrême », analyse Pierre-Yves Gosset, coordinateur des services numériques de l’association Framasoft, initiatrice du Collectif des hébergeurs alternatifs, transparents, ouverts et solidaires (Chatons).

Le renoncement d’A/I parait, dans ce contexte, compréhensible. « Même si tu restes vindicatif, c’est difficile de te dire que tu vas te battre avec des cure-dents contre un porte-avion. Le rapport de force qui se met en place, une fois désigné comme organisation terroriste internationale, est intenable, donc il vaut sans doute mieux jouer la fluidité, quitte à renaître ailleurs », estime Pierre-Yves Gosset, qui rappelle les conséquences de la vindicte états-unienne sur la vie personnelle et la famille du juge Guillou, littéralement coupé de tout un pan de sa vie numérique en raison d’un décret signé par Donald Trump.

• Vassalisation de l’Europe : le numérique est « une infrastructure de pouvoir »

Outre le coup de boutoir frontal que constitue cette désignation comme organisation terroriste internationale, A/I subit également des assauts par la bande. Fin août, le collectif indiquait que sa plateforme noblogs.org, notoirement connue pour héberger des blogs de mouvements antifa parfois adeptes de la désobéissance civile, avait fait l’objet d’attaques informatiques, qui s’étaient traduites par le défaçage, pendant quelques heures, de sa page d’accueil.

Prévenir l’hypothèse du kill switch

Quelques jours plus tard (et sans qu’un lien direct avec la cyberattaque ait été établi), le site militant pro-Trump Datarepublican a publié une cartographie des 7 673 sites hébergés par noblogs. « NoBlogs, la tristement célèbre infrastructure antifa mondiale, sera fermée. Mais n’ayez crainte, les autorités détiennent tout le contenu, et nous le conserverons en mémoire sur TrumpBlogs », ironise sur X l’instigatrice de la plateforme.

Qu’adviendra-t-il des utilisateurs des services opérés jusqu’ici par A/I ? L’ONG norvégienne Electronic Forpost Norge (EFN) a annoncé dimanche qu’elle reprendrait une partie de l’infrastructure précédemment gérée par le collectif d’origine italienne. Les autres internautes qui cherchent des moyens de communication garantissant l’anonymat, ou l’alternative aux grands outils états-uniens, devront quant à eux trouver une nouvelle crèmerie, peut-être moins facilement identifiable que ne l’était A/I, dont les 25 ans d’histoire ont été émaillés de quelques coups d’éclat.

L’action contre Autistici/Inventati fait quoi qu’il en soit peser un risque nouveau sur les hébergeurs alternatifs qui, même sans afficher de coloration politique particulière, prennent le précédent très au sérieux. « C’est peut-être le point positif de cette histoire. Elle nous oblige à nous poser des questions, à réévaluer notre modèle de menaces et à anticiper la façon dont on répondrait si on était concernés », remarque Pierre-Yves Gosset.

• Tensions sur le Groenland : et si Trump coupait le robinet de la tech US ?

Extinction du domaine de la lutte

Onze jours après avoir été désigné comme organisation terroriste par l’administration Trump, le collectif hacktiviste d’origine italienne Autistici/Inventati a annoncé mettre un terme à ses activités. Il explique ne plus pouvoir garantir la sécurité de ses membres, mais aussi des utilisateurs de ses services de messagerie ou d’hébergement, qui fermeront bientôt. Dans toute l’Europe, associations et mouvements en faveur des libertés numériques alertent sur cette attaque sans précédent contre un hébergeur alternatif.

Autistici/Inventati (A/I) baisse le rideau. Le collectif, né en Italie, désigné le 26 août dernier comme organisation terroriste par l’administration Trump, affirme ne pas pouvoir être en mesure de garantir la sécurité de ses membres, mais aussi des utilisateurs de ses services. « A/I ferme ses portes. Le collectif Autistici/Inventati cesse ses activités et interrompra prochainement tous les services qu’il propose », explique-t-il dans un billet daté du 6 septembre.

• Les US désignent les hacktivistes d’Autistici/Inventati comme organisation terroriste

Un revirement soudain

Depuis le 26 août, il affichait pourtant sa volonté de résister face à cette désignation, qui a entraîné le gel, via DNS, du nom de domaine de son site principal, autistici.org, puis la suspension de son compte PayPal, et la résiliation des services financiers que lui prodiguait sa banque italienne, Banca Etica.

Le 2 septembre, Autistici/Inventati avait ainsi lancé un nouveau site, keepitfree.ai, pensé spécifiquement pour servir de point de liaison entre le collectif, ses utilisateurs et ses soutiens. Il y rappelait que même si A/I ne peut pas être qualifié de structure « neutre », en raison de son orientation idéologique assumée, la structure n’avait jamais été condamnée pour un quelconque crime, que ce soit aux États-Unis ou en Italie.

Quatre jours plus tard, changement de ton. « La possibilité que notre travail puisse avoir des conséquences juridiques et financières pour nos proches – ou même pour ceux qui ont simplement un lien avec nous – ne nous laisse pas le choix. Chaque jour passé en ligne après le 26 août 2026 a été une victoire, mais nous sommes maintenant contraints d’arrêter », écrit A/I dans le billet qui annonce sa dissolution.

Le collectif annonce dans le même temps la fermeture prochaine de ses services, à commencer par la messagerie autistici.org et la plateforme noblogs.org, et suggère à leurs utilisateurs de prendre les devants en sauvegardant leurs données :

« Nous vous enverrons prochainement des instructions pour sauvegarder le contenu de vos blogs, boîtes mail et sites web, ainsi que des recommandations plus techniques. Cependant, gardez à l’esprit que, tout comme le domaine autistici.org est devenu inaccessible sans préavis, nous pourrions rencontrer des problèmes similaires et imprévisibles dans les prochains jours. »

De nombreux soutiens affichés

L’annonce de la disparition d’A/I intervient alors que de nombreuses structures, associations et collectifs engagés en faveur de la liberté d’expression sur Internet, ont affiché leur soutien explicite. Outre la lettre ouverte de Sabot Media cosignée par Framasoft et la Quadrature du Net entre le 31 août et le 1^er septembre, une trentaine d’organisations ont donné de la voix au travers d’une tribune publiée le 3 septembre par le réseau European Digital Rights (EDRi).

Tous dénoncent une attaque d’une gravité sans précédent contre le principe même de neutralité des infrastructures, et le risque que fait peser la sanction des États-Unis sur tous les fournisseurs de services alternatifs aux acteurs commerciaux dominants.

« Cette décision déplace la responsabilité des actes commis par les hébergés sur les hébergeurs. Et quand la menace qu’on fait peser sur toi est celle d’être qualifié d’organisation terroriste internationale, ce n’est pas la même chose qu’une fermeture administrative, ou qu’une réquisition de la police. Ici, la sanction est d’une violence extrême », analyse Pierre-Yves Gosset, coordinateur des services numériques de l’association Framasoft, initiatrice du Collectif des hébergeurs alternatifs, transparents, ouverts et solidaires (Chatons).

Le renoncement d’A/I parait, dans ce contexte, compréhensible. « Même si tu restes vindicatif, c’est difficile de te dire que tu vas te battre avec des cure-dents contre un porte-avion. Le rapport de force qui se met en place, une fois désigné comme organisation terroriste internationale, est intenable, donc il vaut sans doute mieux jouer la fluidité, quitte à renaître ailleurs », estime Pierre-Yves Gosset, qui rappelle les conséquences de la vindicte états-unienne sur la vie personnelle et la famille du juge Guillou, littéralement coupé de tout un pan de sa vie numérique en raison d’un décret signé par Donald Trump.

• Vassalisation de l’Europe : le numérique est « une infrastructure de pouvoir »

Outre le coup de boutoir frontal que constitue cette désignation comme organisation terroriste internationale, A/I subit également des assauts par la bande. Fin août, le collectif indiquait que sa plateforme noblogs.org, notoirement connue pour héberger des blogs de mouvements antifa parfois adeptes de la désobéissance civile, avait fait l’objet d’attaques informatiques, qui s’étaient traduites par le défaçage, pendant quelques heures, de sa page d’accueil.

Prévenir l’hypothèse du kill switch

Quelques jours plus tard (et sans qu’un lien direct avec la cyberattaque ait été établi), le site militant pro-Trump Datarepublican a publié une cartographie des 7 673 sites hébergés par noblogs. « NoBlogs, la tristement célèbre infrastructure antifa mondiale, sera fermée. Mais n’ayez crainte, les autorités détiennent tout le contenu, et nous le conserverons en mémoire sur TrumpBlogs », ironise sur X l’instigatrice de la plateforme.

Qu’adviendra-t-il des utilisateurs des services opérés jusqu’ici par A/I ? L’ONG norvégienne Electronic Forpost Norge (EFN) a annoncé dimanche qu’elle reprendrait une partie de l’infrastructure précédemment gérée par le collectif d’origine italienne. Les autres internautes qui cherchent des moyens de communication garantissant l’anonymat, ou l’alternative aux grands outils états-uniens, devront quant à eux trouver une nouvelle crèmerie, peut-être moins facilement identifiable que ne l’était A/I, dont les 25 ans d’histoire ont été émaillés de quelques coups d’éclat.

L’action contre Autistici/Inventati fait quoi qu’il en soit peser un risque nouveau sur les hébergeurs alternatifs qui, même sans afficher de coloration politique particulière, prennent le précédent très au sérieux. « C’est peut-être le point positif de cette histoire. Elle nous oblige à nous poser des questions, à réévaluer notre modèle de menaces et à anticiper la façon dont on répondrait si on était concernés », remarque Pierre-Yves Gosset.

• Tensions sur le Groenland : et si Trump coupait le robinet de la tech US ?

Christine de Stephen King, version tondeuse à gazon

Trois chercheurs indépendants en cybersécurité ont découvert 14 failles de sécurité critiques au sein de l’infrastructure qui sous-tend le fonctionnement des robots tondeuses Mammotion. Elles exposaient potentiellement jusqu’à 337 000 comptes utilisateurs, ouvraient l’accès aux infos des réseaux connectés, et permettaient accessoirement la prise de contrôle à distance.

Un gazon sans doute coupé au cordeau, mais une véritable porte ouverte sur le jardin. Trois chercheurs en cybersécurité se sont penchés sur l’application mobile fournie par Mammotion pour le pilotage de ses robots tondeuses.

Ils y ont découvert comment accéder en seulement deux requêtes à un compte admin branché sur l’infrastructure cloud qui en sous tend les fonctions connectées. De là, les failles se sont enchaînées, jusqu’à représenter un total de 14 vulnérabilités, présentées dans un rapport dédié.

Des robots ouverts aux quatre vents

À l’appui de leurs travaux, les trois chercheurs, Sammy Azdoufal (@n0tsa), Andreas Makris (@Bin4ryDigit) et Kevin Finisterre (@d0tslash), ont réalisé une attaque par piratage de compte sur un robot tondeuse détenu en propre. Ils revendiquent une prise de contrôle quasi totale, avec possibilité de piloter le robot à distance et visualiser les images transmises par la caméra.

S’ils affirment ne pas avoir avoir parcouru l’ensemble des services cloud exposés, ils donnent un aperçu de la surface potentielle de l’attaque, estimée à 337 000 comptes utilisateurs énumérables sans authentification, répartis sur quatre serveurs régionaux, dont un serveur EU servant 85 pays, avec une « forte concentration en Allemagne, France et Suède ». Sammy Azdoufal, qui avait déjà mis au jour les failles de sécurité béantes des babyphones et caméras IP Meari et dix CVE dans des produits connectés Aqara, précise à Next qu’environ 49 000 comptes correspondent à des utilisateurs français.

Pour chaque appareil, l’accès découvert donnait selon eux la possibilité d’interroger le robot à distance et d’en faire remonter, sans vérification de propriété, les informations réseau telles que les coordonnées GPS, l’adresse IP sur le réseau local, l’adresse MAC, ou l’IMEI de la connexion mobile, mais aussi le SSID du Wi-Fi domestique, et le numéro IMSI de la carte SIM utilisée pour les communications en cas d’absence de Wi-Fi.

Les chercheurs affirment par ailleurs avoir pu énumérer 46 785 stations RTK dont les clés de chiffrement RSA-2048 étaient récupérables sans vérification de propriété. Ces stations sont un accessoire commercialisé par Mammotion (et d’autres fabricants) pour offrir une référence de positionnement plus précise que celle du GPS et donc améliorer la capacité du robot tondeuse à s’orienter dans le jardin ou respecter les instructions de tonte.

« La flotte RTK européenne de Mammotion fonctionne avec des cartes SIM M2M d’Orange France. Chaque station de base équipée d’un module 4G (IMSI 208012xxxxxxx) transmet des données d’identité cellulaire à tout utilisateur authentifié de l’application », affirment à ce sujet les chercheurs.

Si les données GPS d’un robot individuel suffisent pour localiser son emplacement, les chercheurs suggèrent, sans l’affirmer explicitement, que l’exposition de cette infrastructure de communication mobile ouvrait la voie à des attaques à plus grande échelle.

Une communication assez limitée

La première et peut-être la plus inquiétante découverte tient à la façon dont les chercheurs ont pu accéder au cloud de Mammotion. D’après leur rapport, le fabricant référençait dans son application un endpoint (un point de terminaison pour se connecter à l’infra) lié à son serveur situé en Chine qui retournait, sans authentification ou token préalable, un mot de passe à usage unique (on parle de code OTP, pour One-Time Password), qui en réalité n’expirait pas.

Ce code à usage unique est lié à la récupération en cas de mot de passe oublié. Pour un utilisateur lambda, il faut en principe une demande de réinitialisation pour que ce code soit généré, puis reconnu au niveau du endpoint. « Pour admin@mammotion.com, la situation était différente. L’administrateur n’avait apparemment jamais déclenché sa propre procédure de mot de passe oublié ; son code OTP enregistré n’avait donc ni durée de vie ni renouvellement. Il était juste là », décrivent les trois auteurs, avant de résumer : « Deux requêtes HTTP non authentifiées et vous possédez le compte administrateur Mammotion ».

Le dépôt GitHub créé pour l’occasion liste également les échanges par écrit entre les trois chercheurs et les services techniques de Mammotion. La conversation achoppe principalement sur des questions de forme, peut-être motivées par le passif de Kevin Finisterre avec la marque, quelques années plus tôt. Ce dernier s’était en effet inquiété de voir un service SSH tourner sur son robot, et avait donc demandé à la marque le mot de passe permettant de s’y connecter pour investiguer le sujet. Il s’était vu opposer une fin de non recevoir.

D’après la transcription publiée dans ce rapport, Mammotion indique avoir pris en compte les remarques des chercheurs et implémenté des « mesures de protection » adaptées. Affirmant travailler avec des institutions externes dédiées à la sécurité, elle a en revanche refusé d’ouvrir un canal technique avec les intéressés qui réclamaient la mise en place d’un processus de divulgation responsable. Elle ne livre par ailleurs aucune réponse sur le fond, mais a tout de même fini par corriger les failles les plus sérieuses. C’est ce constat qui a conduit les trois auteurs à publier leur rapport, daté du 21 août et mis en ligne sur GitHub le 24 août dernier.

Leurs conclusions relèvent d’ailleurs que trois problèmes restent en suspens : un secret codé en dur dans un élément JavaScript public, un processus d’auto-enregistrement de clients avec une adresse de redirection arbitraire ouvrant, par exemple, la voie à des tentatives de phishing, et des sous domaines internes résolus via des DNS publics.

Sur sa page de support, Mammotion s’engage à assurer des mises à jour de sécurité continues pour tous ses produits pendant les cinq ans qui suivent leur mise sur le marché. Contactée par nos soins le 24 août et relancée depuis, l’entreprise n’a pas répondu à nos questions.

Christine de Stephen King, version tondeuse à gazon

Trois chercheurs indépendants en cybersécurité ont découvert 14 failles de sécurité critiques au sein de l’infrastructure qui sous-tend le fonctionnement des robots tondeuses Mammotion. Elles exposaient potentiellement jusqu’à 337 000 comptes utilisateurs, ouvraient l’accès aux infos des réseaux connectés, et permettaient accessoirement la prise de contrôle à distance.

Un gazon sans doute coupé au cordeau, mais une véritable porte ouverte sur le jardin. Trois chercheurs en cybersécurité se sont penchés sur l’application mobile fournie par Mammotion pour le pilotage de ses robots tondeuses.

Ils y ont découvert comment accéder en seulement deux requêtes à un compte admin branché sur l’infrastructure cloud qui en sous tend les fonctions connectées. De là, les failles se sont enchaînées, jusqu’à représenter un total de 14 vulnérabilités, présentées dans un rapport dédié.

Des robots ouverts aux quatre vents

À l’appui de leurs travaux, les trois chercheurs, Sammy Azdoufal (@n0tsa), Andreas Makris (@Bin4ryDigit) et Kevin Finisterre (@d0tslash), ont réalisé une attaque par piratage de compte sur un robot tondeuse détenu en propre. Ils revendiquent une prise de contrôle quasi totale, avec possibilité de piloter le robot à distance et visualiser les images transmises par la caméra.

S’ils affirment ne pas avoir avoir parcouru l’ensemble des services cloud exposés, ils donnent un aperçu de la surface potentielle de l’attaque, estimée à 337 000 comptes utilisateurs énumérables sans authentification, répartis sur quatre serveurs régionaux, dont un serveur EU servant 85 pays, avec une « forte concentration en Allemagne, France et Suède ». Sammy Azdoufal, qui avait déjà mis au jour les failles de sécurité béantes des babyphones et caméras IP Meari et dix CVE dans des produits connectés Aqara, précise à Next qu’environ 49 000 comptes correspondent à des utilisateurs français.

Pour chaque appareil, l’accès découvert donnait selon eux la possibilité d’interroger le robot à distance et d’en faire remonter, sans vérification de propriété, les informations réseau telles que les coordonnées GPS, l’adresse IP sur le réseau local, l’adresse MAC, ou l’IMEI de la connexion mobile, mais aussi le SSID du Wi-Fi domestique, et le numéro IMSI de la carte SIM utilisée pour les communications en cas d’absence de Wi-Fi.

Les chercheurs affirment par ailleurs avoir pu énumérer 46 785 stations RTK dont les clés de chiffrement RSA-2048 étaient récupérables sans vérification de propriété. Ces stations sont un accessoire commercialisé par Mammotion (et d’autres fabricants) pour offrir une référence de positionnement plus précise que celle du GPS et donc améliorer la capacité du robot tondeuse à s’orienter dans le jardin ou respecter les instructions de tonte.

« La flotte RTK européenne de Mammotion fonctionne avec des cartes SIM M2M d’Orange France. Chaque station de base équipée d’un module 4G (IMSI 208012xxxxxxx) transmet des données d’identité cellulaire à tout utilisateur authentifié de l’application », affirment à ce sujet les chercheurs.

Si les données GPS d’un robot individuel suffisent pour localiser son emplacement, les chercheurs suggèrent, sans l’affirmer explicitement, que l’exposition de cette infrastructure de communication mobile ouvrait la voie à des attaques à plus grande échelle.

Une communication assez limitée

La première et peut-être la plus inquiétante découverte tient à la façon dont les chercheurs ont pu accéder au cloud de Mammotion. D’après leur rapport, le fabricant référençait dans son application un endpoint (un point de terminaison pour se connecter à l’infra) lié à son serveur situé en Chine qui retournait, sans authentification ou token préalable, un mot de passe à usage unique (on parle de code OTP, pour One-Time Password), qui en réalité n’expirait pas.

Ce code à usage unique est lié à la récupération en cas de mot de passe oublié. Pour un utilisateur lambda, il faut en principe une demande de réinitialisation pour que ce code soit généré, puis reconnu au niveau du endpoint. « Pour admin@mammotion.com, la situation était différente. L’administrateur n’avait apparemment jamais déclenché sa propre procédure de mot de passe oublié ; son code OTP enregistré n’avait donc ni durée de vie ni renouvellement. Il était juste là », décrivent les trois auteurs, avant de résumer : « Deux requêtes HTTP non authentifiées et vous possédez le compte administrateur Mammotion ».

Le dépôt GitHub créé pour l’occasion liste également les échanges par écrit entre les trois chercheurs et les services techniques de Mammotion. La conversation achoppe principalement sur des questions de forme, peut-être motivées par le passif de Kevin Finisterre avec la marque, quelques années plus tôt. Ce dernier s’était en effet inquiété de voir un service SSH tourner sur son robot, et avait donc demandé à la marque le mot de passe permettant de s’y connecter pour investiguer le sujet. Il s’était vu opposer une fin de non recevoir.

D’après la transcription publiée dans ce rapport, Mammotion indique avoir pris en compte les remarques des chercheurs et implémenté des « mesures de protection » adaptées. Affirmant travailler avec des institutions externes dédiées à la sécurité, elle a en revanche refusé d’ouvrir un canal technique avec les intéressés qui réclamaient la mise en place d’un processus de divulgation responsable. Elle ne livre par ailleurs aucune réponse sur le fond, mais a tout de même fini par corriger les failles les plus sérieuses. C’est ce constat qui a conduit les trois auteurs à publier leur rapport, daté du 21 août et mis en ligne sur GitHub le 24 août dernier.

Leurs conclusions relèvent d’ailleurs que trois problèmes restent en suspens : un secret codé en dur dans un élément JavaScript public, un processus d’auto-enregistrement de clients avec une adresse de redirection arbitraire ouvrant, par exemple, la voie à des tentatives de phishing, et des sous domaines internes résolus via des DNS publics.

Sur sa page de support, Mammotion s’engage à assurer des mises à jour de sécurité continues pour tous ses produits pendant les cinq ans qui suivent leur mise sur le marché. Contactée par nos soins le 24 août et relancée depuis, l’entreprise n’a pas répondu à nos questions.

Troisième sortie en seulement six semaines pour Google : la firme de Mountain View vient en effet de déployer la version 3.8 de son modèle Gemini Flash, la famille censée offrir le meilleur rapport entre rapidité et coût de traitement des requêtes. Cette nouvelle mouture succède aux versions 3.6 et 3.7, mises en ligne à trois semaines d’intervalle.

Gemini 3.8 Flash est présenté comme le meilleur workhorse model de Google, c’est-à-dire un modèle dédié à des tâches utilitaires. Et d’après les benchmarks publiés par l’entreprise, il tiendrait la route face à des modèles dits frontière. Elle revendique ainsi un score de 73,7 % sur le test DeepSWE, qui mesure les performances en développement logiciel avancé, contre 74 % pour Opus 5 chez Anthropic et 72,7 % chez OpenAI avec GPT-5.6 Sol.

En développement agentique (missions de code autonomes dans le terminal), Gemini 3.8 Flash se paierait même le luxe de dépasser d’un cheveu Opus 5. Google revendique également des performances en hausse sur les tâches liées à la finance, au monde du droit, à l’interprétation de documents complexes (principalement scientifiques) ou à la recherche en biologie.

Sur les tâches complexes impliquant du raisonnement ou une subdivision, Google prévient toutefois que le gain de performances promis avec Gemini 3.8 Flash se fait au prix d’une consommation plus élevée de tokens :

« Ces gains de performance découlent d’un choix de conception fondamental : Flash 3.8 travaille davantage. Sur les tâches complexes, il fait preuve d’une plus grande rigueur, en exécutant des étapes de raisonnement supplémentaires et en appelant les outils de manière itérative. Le modèle peut parfois utiliser plus de jetons pour optimiser les performances, notamment lorsque le niveau d’effort est élevé. »

Gemini 3.8 Flash est dès à présent disponible au travers des canaux courants d’IA chez Google, en API ou au travers de l’application Gemini pour les souscripteurs d’un forfait Google AI Pro ou Ultra. Pour ces derniers, c’est également lui qui sous-tend les Aperçus IA intégrés par le moteur à ses résultats de recherche.

Google affiche une tarification agressive pour le lancement, avec 0,75 dollar par million de tokens en entrée et 3,75 dollars par million de tokens en sortie. Ce prix n’est cependant valable que jusqu’au 31 décembre, date à laquelle la facturation se fera sur une base fixée à 1,50 / 7,50 dollars par million de tokens.

Google déploie dans le même temps la variante Cyber de son nouveau modèle, dotée de capacités spécifiques au monde de la cybersécurité. L’accès à ce dernier est cependant réservé aux organisations et entreprises enregistrées dans le programme Fairwind.

Troisième sortie en seulement six semaines pour Google : la firme de Mountain View vient en effet de déployer la version 3.8 de son modèle Gemini Flash, la famille censée offrir le meilleur rapport entre rapidité et coût de traitement des requêtes. Cette nouvelle mouture succède aux versions 3.6 et 3.7, mises en ligne à trois semaines d’intervalle.

Gemini 3.8 Flash est présenté comme le meilleur workhorse model de Google, c’est-à-dire un modèle dédié à des tâches utilitaires. Et d’après les benchmarks publiés par l’entreprise, il tiendrait la route face à des modèles dits frontière. Elle revendique ainsi un score de 73,7 % sur le test DeepSWE, qui mesure les performances en développement logiciel avancé, contre 74 % pour Opus 5 chez Anthropic et 72,7 % chez OpenAI avec GPT-5.6 Sol.

En développement agentique (missions de code autonomes dans le terminal), Gemini 3.8 Flash se paierait même le luxe de dépasser d’un cheveu Opus 5. Google revendique également des performances en hausse sur les tâches liées à la finance, au monde du droit, à l’interprétation de documents complexes (principalement scientifiques) ou à la recherche en biologie.

Sur les tâches complexes impliquant du raisonnement ou une subdivision, Google prévient toutefois que le gain de performances promis avec Gemini 3.8 Flash se fait au prix d’une consommation plus élevée de tokens :

« Ces gains de performance découlent d’un choix de conception fondamental : Flash 3.8 travaille davantage. Sur les tâches complexes, il fait preuve d’une plus grande rigueur, en exécutant des étapes de raisonnement supplémentaires et en appelant les outils de manière itérative. Le modèle peut parfois utiliser plus de jetons pour optimiser les performances, notamment lorsque le niveau d’effort est élevé. »

Gemini 3.8 Flash est dès à présent disponible au travers des canaux courants d’IA chez Google, en API ou au travers de l’application Gemini pour les souscripteurs d’un forfait Google AI Pro ou Ultra. Pour ces derniers, c’est également lui qui sous-tend les Aperçus IA intégrés par le moteur à ses résultats de recherche.

Google affiche une tarification agressive pour le lancement, avec 0,75 dollar par million de tokens en entrée et 3,75 dollars par million de tokens en sortie. Ce prix n’est cependant valable que jusqu’au 31 décembre, date à laquelle la facturation se fera sur une base fixée à 1,50 / 7,50 dollars par million de tokens.

Google déploie dans le même temps la variante Cyber de son nouveau modèle, dotée de capacités spécifiques au monde de la cybersécurité. L’accès à ce dernier est cependant réservé aux organisations et entreprises enregistrées dans le programme Fairwind.

Tous dans la même passoire

L’ancien journaliste spécialisé dans la cybersécurité Bryan Krebs raconte comment il a découvert un service illégal donnant accès à la bagatelle de 153 millions de permis de conduire enregistrés aux États-Unis et au Canada. Ses recherches indiquent que les données semblent avoir été extraites depuis les systèmes d’un prestataire spécialisé dans la vérification d’identité. Le FBI a lancé une enquête.

N’en déplaise aux Cassandre, voilà une découverte qui rappelle que la problématique des fuites de données n’est pas exclusive à la France. Bryan Krebs, ancien journaliste reconverti dans le conseil en cybersécurité, vient ainsi de raconter comment il a découvert la mise à disposition, via un outil dédié baptisé Nexus, d’un jeu de données revendiquant quelque 170 millions de documents d’identité provenant des États-Unis et du Canada. L’outil était mis à disposition au travers d’un forum russe dédié à la revente de données, et semble avoir été placé hors ligne suite à la divulgation de son existence.

Un guichet ouvert sur 153 millions de permis de conduire

Krebs explique avoir été alerté lundi 31 août par une source qui, pour faire bonne mesure, lui a transmis une capture d’écran des informations relatives à son propre permis de conduire. Dans la foulée, il accède à l’outil. D’après les résultats de recherche retournés par ce dernier, la base de données afférente listait donc 153 millions de permis de conduire, mais aussi 10 millions de cartes d’identité, près de 2 millions de documents de voyage, et près de 600 000 cartes médicales.

Le chercheur remarque, au fil de ses investigations, que les compteurs ne cessent de s’incrémenter, ce qui laisse supposer une base alimentée en continu, et donc une source de données qui ne s’est pas tarie. Il affirme ainsi avoir constaté l’ajout de 400 000 nouveaux permis de conduire sur une fenêtre de 24 heures.

Une dynamique confirmée par les auteurs de l’outil. Sur l’annonce qui présente leurs services, ils affirment ainsi : « Depuis plus d’un an, nous enrichissons continuellement notre base de données privée avec de nouvelles données », selon les propos rapportés par Krebs.

D’où viennent les données en question ? L’ancien journaliste indique avoir sollicité douze de ses contacts en leur demandant l’autorisation de vérifier si leurs documents figuraient dans la base. La recherche a retourné des résultats positifs pour neuf d’entre eux.

Après recoupements, Bryan Krebs associe la présence de leurs documents à des voyages récents, et notamment à des locations de voiture chez Hertz, mais pas uniquement. C’est le cas par exemple d’un autre chercheur en cybersécurité alerté par ses soins, selon qui les captures visibles via Nexus et l’horodatage associé correspondent à une location de voiture lors de vacances récentes. Zach Edwards, un autre chercheur en cybersécurité sur lequel Krebs a mené une recherche fructueuse, indique n’avoir fourni son permis de conduire qu’à l’enregistrement dans un hôtel de Las Vegas et à l’entrée d’un dispensaire de cannabis à l’occasion d’un déplacement à la Defcon.

Identifier le single point of failure

De fil en aiguille, Bryan Krebs trouve le point commun aux différents services concernés : un prestataire états-unien spécialisé dans la vérification d’identité, IDScan, qui se présente comme le leader dans la lutte contre la fraude aux fausses pièces d’identité, et revendique une longue liste de clients, dont Hertz et la chaîne de dispensaires concernée, mais aussi FedEx, plusieurs constructeurs automobiles, Shell et sans doute d’autres acteurs du monde du transport dont le nom reste confidentiel. Contactée par ses soins, l’entreprise n’a pour l’instant pas commenté ou confirmé la possibilité d’une fuite de données.

Le sujet a, quoi qu’il en soit, très vite attiré l’attention du FBI. Bryan Krebs raconte avoir été ajouté à une conférence téléphonique avec plusieurs agents spécialisés dans la cybercriminalité du Bureau. « Ils ont probablement été mis au courant lorsque j’ai révélé à une source fiable que Nexus vendait également les informations relatives au permis de conduire du directeur adjoint du FBI (je n’ai pas trouvé le permis de conduire du directeur du FBI, Kash Patel, sur Nexus) », glisse-t-il.

Reste à voir quelle sera la réponse apportée par ID Scan, et sous quel délai l’accès temps réel aux données sera coupé ? Un commentaire laissé sous le billet de Krebs laisse entendre que l’entreprise a commencé à alerter ses clients entreprise mercredi 2 septembre, sans qu’il soit possible à ce stade de vérifier la légitimité du message.

• Cannabis clubs et coffee shops : 1 million de pièces d’identité exposées sur Internet

Tous dans la même passoire

L’ancien journaliste spécialisé dans la cybersécurité Bryan Krebs raconte comment il a découvert un service illégal donnant accès à la bagatelle de 153 millions de permis de conduire enregistrés aux États-Unis et au Canada. Ses recherches indiquent que les données semblent avoir été extraites depuis les systèmes d’un prestataire spécialisé dans la vérification d’identité. Le FBI a lancé une enquête.

N’en déplaise aux Cassandre, voilà une découverte qui rappelle que la problématique des fuites de données n’est pas exclusive à la France. Bryan Krebs, ancien journaliste reconverti dans le conseil en cybersécurité, vient ainsi de raconter comment il a découvert la mise à disposition, via un outil dédié baptisé Nexus, d’un jeu de données revendiquant quelque 170 millions de documents d’identité provenant des États-Unis et du Canada. L’outil était mis à disposition au travers d’un forum russe dédié à la revente de données, et semble avoir été placé hors ligne suite à la divulgation de son existence.

Un guichet ouvert sur 153 millions de permis de conduire

Krebs explique avoir été alerté lundi 31 août par une source qui, pour faire bonne mesure, lui a transmis une capture d’écran des informations relatives à son propre permis de conduire. Dans la foulée, il accède à l’outil. D’après les résultats de recherche retournés par ce dernier, la base de données afférente listait donc 153 millions de permis de conduire, mais aussi 10 millions de cartes d’identité, près de 2 millions de documents de voyage, et près de 600 000 cartes médicales.

Le chercheur remarque, au fil de ses investigations, que les compteurs ne cessent de s’incrémenter, ce qui laisse supposer une base alimentée en continu, et donc une source de données qui ne s’est pas tarie. Il affirme ainsi avoir constaté l’ajout de 400 000 nouveaux permis de conduire sur une fenêtre de 24 heures.

Une dynamique confirmée par les auteurs de l’outil. Sur l’annonce qui présente leurs services, ils affirment ainsi : « Depuis plus d’un an, nous enrichissons continuellement notre base de données privée avec de nouvelles données », selon les propos rapportés par Krebs.

D’où viennent les données en question ? L’ancien journaliste indique avoir sollicité douze de ses contacts en leur demandant l’autorisation de vérifier si leurs documents figuraient dans la base. La recherche a retourné des résultats positifs pour neuf d’entre eux.

Après recoupements, Bryan Krebs associe la présence de leurs documents à des voyages récents, et notamment à des locations de voiture chez Hertz, mais pas uniquement. C’est le cas par exemple d’un autre chercheur en cybersécurité alerté par ses soins, selon qui les captures visibles via Nexus et l’horodatage associé correspondent à une location de voiture lors de vacances récentes. Zach Edwards, un autre chercheur en cybersécurité sur lequel Krebs a mené une recherche fructueuse, indique n’avoir fourni son permis de conduire qu’à l’enregistrement dans un hôtel de Las Vegas et à l’entrée d’un dispensaire de cannabis à l’occasion d’un déplacement à la Defcon.

Identifier le single point of failure

De fil en aiguille, Bryan Krebs trouve le point commun aux différents services concernés : un prestataire états-unien spécialisé dans la vérification d’identité, IDScan, qui se présente comme le leader dans la lutte contre la fraude aux fausses pièces d’identité, et revendique une longue liste de clients, dont Hertz et la chaîne de dispensaires concernée, mais aussi FedEx, plusieurs constructeurs automobiles, Shell et sans doute d’autres acteurs du monde du transport dont le nom reste confidentiel. Contactée par ses soins, l’entreprise n’a pour l’instant pas commenté ou confirmé la possibilité d’une fuite de données.

Le sujet a, quoi qu’il en soit, très vite attiré l’attention du FBI. Bryan Krebs raconte avoir été ajouté à une conférence téléphonique avec plusieurs agents spécialisés dans la cybercriminalité du Bureau. « Ils ont probablement été mis au courant lorsque j’ai révélé à une source fiable que Nexus vendait également les informations relatives au permis de conduire du directeur adjoint du FBI (je n’ai pas trouvé le permis de conduire du directeur du FBI, Kash Patel, sur Nexus) », glisse-t-il.

Reste à voir quelle sera la réponse apportée par ID Scan, et sous quel délai l’accès temps réel aux données sera coupé ? Un commentaire laissé sous le billet de Krebs laisse entendre que l’entreprise a commencé à alerter ses clients entreprise mercredi 2 septembre, sans qu’il soit possible à ce stade de vérifier la légitimité du message.

• Cannabis clubs et coffee shops : 1 million de pièces d’identité exposées sur Internet

Ubisoft se prépare à introduire de nouveaux modes de jeu classés (ranked) au sein de For Honor, son champ de bataille virtuel dans lequel on peut gaiement s’étriper à grands coups de masse d’armes. La nouvelle est à première vue plutôt bonne pour les adeptes de ce titre sorti en 2017, puisqu’elle montre que l’éditeur continue à entretenir la flamme.

Elle s’accompagne toutefois d’un changement qui risque de faire grincer quelques dents : à compter du 10 septembre, date du lancement de la saison associée à ces modes classés, le titre ne sera plus jouable sur Linux et, par extension, sur le Steam Deck de Valve (dont l’OS exploite une base Arch).

Ubisoft s’en explique de la façon suivante :

« Afin de garantir un environnement compétitif équitable, l’équipe met en place des mesures de sécurité supplémentaires pour les joueurs. Nous retirons For Honor de la plateforme Linux pour assurer un environnement plus sûr, car il nous est impossible d’y déployer une protection efficace. Par conséquent, For Honor ne sera plus jouable sur Steam Deck à partir du 10 septembre. Nous continuons d’explorer différentes pistes pour améliorer notre système anti-triche, avec la possibilité de rouvrir la plateforme ultérieurement. »

L’éditeur ne donne pas de détails techniques précis, mais il invoque donc l’objectif de lutte contre la triche pour justifier cette décision. For Honor était compatible avec Linux depuis 2023, suite à l’adaptation deux ans plus tôt par Epic de son logiciel anti-triche, Easy Anti-Cheat pour assurer le support des trois environnements courants (Windows, macOS et Linux). Sur Reddit, la communauté For Honor a accueilli la nouvelle en des termes que la décence nous interdit de reproduire.

La décision d’Ubisoft semble particulièrement à contre-courant de la tendance générale, alors que la rumeur murmure qu’EA travaille à l’adaptation de son propre anti-cheat, Javelin, pour Linux, et qu’Epic prépare l’arrivée de son propre Store sur le système d’exploitation libre.

Ubisoft se prépare à introduire de nouveaux modes de jeu classés (ranked) au sein de For Honor, son champ de bataille virtuel dans lequel on peut gaiement s’étriper à grands coups de masse d’armes. La nouvelle est à première vue plutôt bonne pour les adeptes de ce titre sorti en 2017, puisqu’elle montre que l’éditeur continue à entretenir la flamme.

Elle s’accompagne toutefois d’un changement qui risque de faire grincer quelques dents : à compter du 10 septembre, date du lancement de la saison associée à ces modes classés, le titre ne sera plus jouable sur Linux et, par extension, sur le Steam Deck de Valve (dont l’OS exploite une base Arch).

Ubisoft s’en explique de la façon suivante :

« Afin de garantir un environnement compétitif équitable, l’équipe met en place des mesures de sécurité supplémentaires pour les joueurs. Nous retirons For Honor de la plateforme Linux pour assurer un environnement plus sûr, car il nous est impossible d’y déployer une protection efficace. Par conséquent, For Honor ne sera plus jouable sur Steam Deck à partir du 10 septembre. Nous continuons d’explorer différentes pistes pour améliorer notre système anti-triche, avec la possibilité de rouvrir la plateforme ultérieurement. »

L’éditeur ne donne pas de détails techniques précis, mais il invoque donc l’objectif de lutte contre la triche pour justifier cette décision. For Honor était compatible avec Linux depuis 2023, suite à l’adaptation deux ans plus tôt par Epic de son logiciel anti-triche, Easy Anti-Cheat pour assurer le support des trois environnements courants (Windows, macOS et Linux). Sur Reddit, la communauté For Honor a accueilli la nouvelle en des termes que la décence nous interdit de reproduire.

La décision d’Ubisoft semble particulièrement à contre-courant de la tendance générale, alors que la rumeur murmure qu’EA travaille à l’adaptation de son propre anti-cheat, Javelin, pour Linux, et qu’Epic prépare l’arrivée de son propre Store sur le système d’exploitation libre.

Hangers sitting dripped in oil crying freedom

Le collectif hacktiviste d’origine italienne Autistici/Inventati, qui fournit des services alternatifs d’hébergement et de messagerie, vient d’être désigné comme « organisation terroriste » par les États-Unis. Suivie du blocage de son nom de domaine en .org, la mesure vise à couper les moyens d’une initiative accusée d’outiller les mouvements d’ultragauche. Le collectif dénonce une attaque contre la liberté d’expression et assure qu’il ne se laissera pas faire.

Pour la première fois, les États-Unis assimilent une infrastructure numérique à une action terroriste. L’administration Trump vient en effet de classer le mouvement d’origine italienne Autistici/Inventati parmi les « organisations terroristes mondiales spécialement désignées » (on parle de SDGT, pour specially designated global terrorist).

Elle lui reproche d’héberger 16 000 boîtes mail, 1 500 sites et 10 000 blogs sur une plateforme devenue le « nœud clé d’une campagne transnationale menée par des réseaux d’extrême gauche violents et criminels visant à déstabiliser les États-Unis et leurs partenaires en Europe, dans l’hémisphère occidental et au-delà ».

Une sanction aux répercussions immédiates

L’action a été décrétée conjointement par le département d’État (l’équivalent du ministère des Affaires étrangères) dirigé par Marco Rubio et par le département du Trésor le 26 août.

Elle s’appuie sur le fondement juridique du décret exécutif 13 224 émis par George W. Bush suite aux attaques du 11 septembre 2001 qui dote l’administration états-unienne de pouvoirs de sanctions contre les organisations ou les personnes accusées d’avoir fourni des ressources ou des services ayant contribué à un acte de terrorisme. « Cette désignation s’inscrit dans le cadre d’un effort plus vaste du gouvernement américain visant à lutter contre la menace du terrorisme transnational d’extrême gauche », décrit le département d’État.

D’après ce même département d’État, Autistici/Inventati fournit son infrastructure à des « cellules violentes d’Antifa et d’autres militants d’extrême gauche à travers le monde », et permet à ces dernières d’opérer sous les radars légaux :

« Ces outils sont spécifiquement conçus pour soutenir les opérations des réseaux terroristes d’extrême gauche, construits pour leur permettre de s’organiser, de recruter, de communiquer, de diffuser de la propagande, de partager des informations et des tactiques sur les cibles, et de mener des attaques violentes – tout en restant anonymes, intraçables et hors de portée de la loi. »

La désignation d’Autistici/Inventati comme membre de cette liste noire entraîne le blocage de toutes les ressources dont pourrait disposer le collectif aux États-Unis. Du côté du Trésor, cette qualification en tant que SDGT déclenche une sanction prononcée par l’OFAC (Office of Foreign Assets Control), qui interdit toute relation commerciale avec l’entité désignée. Une licence générale (PDF) en précise les modalités : elle autorise une fenêtre de wind down (liquidation) jusqu’au 25 septembre 2026, date à laquelle les banques, hébergeurs, prestataires ou opérateurs financiers devront avoir totalement coupé les ponts avec Autistici/Inventati.

La mesure a entraîné deux répercussions rapides. Le 28 août, Autistici/Inventati a en effet constaté le blocage de son compte PayPal, utilisé notamment pour recueillir les dons qui financent ses activités, puis la suspension du nom de domaine de l’un de ses sites web, autistici.org. Une analyse technique indépendante confirme que ce blocage a été réalisé au niveau du registre PIR qui gère le .org. Le site en question (hébergé par Open Networks Association en Suisse) n’a donc pas été saisi, et reste accessible au prix de quelques manipulations techniques. Les mails fournis en @autistici.org sont quant à eux inopérants.

Autistici/Inventati conserve par ailleurs l’essentiel de sa présence en ligne, à commencer par son autre domaine principal, inventati.org, et sa plateforme noblogs.org. Le mouvement craint cependant que les sanctions états-uniennes aient un impact plus sérieux sur ses activités.

Sur son blog collectif, il indique ainsi avoir été averti par sa banque italienne, Banca Etica, que celle-ci allait cesser de lui prodiguer des services financiers. « Il s’agit d’une étape importante, car elle montre comment une décision prise par une autorité américaine peut avoir des conséquences concrètes, y compris sur les relations financières d’une organisation italienne, qui a jugé trop risqué de maintenir ses relations avec A/I », remarque le collectif.

« anti-fascism, anti-racism, anti-sexism, anti-militarism »

Autistici/Inventati résume sa raison d’être dans un manifeste écrit en 2002. Le collectif revendique une idéologie « anti-fascisme, anti-racisme, anti-sexisme, anti-militarisme », et affirme que sa mission consiste à mettre des outils de communication alternatifs (comprendre, non commerciaux) à destination de tous ceux qui partagent ses idées, et luttent pour les défendre.

Ses services comprennent notamment une messagerie (boîte mail), un outil de gestion de listes de diffusion et newsletters, des canaux de messagerie instantanée, de l’hébergement, des outils dédiés à l’anonymat et la plateforme de blogs noblogs.org, notoirement utilisée par des collectifs antifascistes (notamment français).

Partisan d’un « activisme radical », A/I assume de réserver ses services « exclusivement aux personnes ou aux groupes avec lesquels nous ressentons une affinité » :

« Nous sommes un collectif de militants numériques, d’antifascistes et d’anticapitalistes. Nous croyons en une technologie qui n’est pas un carcan mais un outil de libération. Où les courriels restent des lettres confidentielles, et non des fichiers ouverts. Où l’hébergement n’est pas une prison mais un refuge pour les idées dérangeantes, pour les débats que le marché refuse d’acheter et que l’État refuse de museler. »

Des canaux utilisés pour préparer des actions terroristes

Bien qu’A/I se contente de fournir des outils techniques, l’administration Trump estime que son action participe directement de celles de groupuscules extrémistes relevant du terrorisme.

Le département d’État affirme ainsi que les cellules anarchistes ayant saboté les réseaux ferroviaires en France, Italie, Allemagne et Pays-Bas en 2026 utilisaient A/I pour revendiquer leurs attaques. Il accuse également A/I d’avoir fourni des services au collectif Rose City Antifa, dans l’Oregon, lequel aurait attaqué des hélicoptères des douanes, et diffusé des appels à attaquer les agents de l’ICE, la tristement célèbre police de l’immigration, accompagnés d’informations personnelles.

• Les services d’immigration américains vont surveiller les réseaux sociaux en permanence

Il décrit également comment un « groupe médiatique d’extrême gauche », cité dans une enquête fédérale pour terrorisme, utiliserait les outils d’A/I pour diffuser des appels à l’action en faveur d’organisations déjà désignées comme terroristes par les États-Unis, parmi lesquelles le Hamas, le Hezbollah ou le Front populaire de libération de la Palestine :

« Bon nombre de ces groupes se sont appuyés sur l’infrastructure numérique du collectif A/I pour planifier ou inciter à des attaques violentes, recruter d’autres personnes pour se livrer à des activités criminelles, publier des communiqués officiels d’organisations terroristes étrangères désignées par les États-Unis et diffuser des cartes d’infrastructures critiques, ainsi que des instructions pour la fabrication d’engins explosifs improvisés et incendiaires – le tout acheminé via un réseau de serveurs étrangers destiné à dissimuler les activités criminelles aux forces de l’ordre. »

D’autres apportent un constat plus nuancé. « Certains des sites NoBlogs les plus connus appartiennent à des chercheurs qui se consacrent exclusivement à documenter la haine et la radicalisation d’extrême droite, sans jamais agir concrètement, se contentant de révéler la réalité », remarque par exemple le compte d’un de ces collectifs de recherche.

De son côté, A/I dénonce le caractère arbitraire de la décision, et l’assimile à une forme de censure à laquelle, justement, le collectif se refuse. « Nous ne censurons pas les contenus à l’avance. Si la loi nous oblige à retirer un contenu, nous le faisons, puis nous nous battons pour le remettre en ligne. Notre limite, c’est la loi ; notre boussole, c’est la liberté », défend-il dans un appel à soutien.

Medium contre message

Il soulève dans le même temps la question de fond posée par cette sanction états-unienne :

« Ce cas est intéressant car il déplace l’attention de la responsabilité de ceux qui commettent une action vers celle des fournisseurs d’infrastructures permettant la communication, l’organisation ou la publication de contenu.

La question ne concerne pas uniquement A/I. Le même principe pourrait, en théorie, s’appliquer aux fournisseurs de messagerie électronique, aux services cloud, aux hébergeurs, aux plateformes de messagerie, aux systèmes de paiement ou aux bureaux d’enregistrement de noms de domaine. Il s’agit de déterminer à quel moment la fourniture d’un service à usage général devient, au regard des lois applicables, un « soutien matériel » à une organisation terroriste. »

La question interpelle également l’Electronic Frontier Foundation (EFF) qui voit dans cette sanction une menace plus large que le simple cas d’A/I. « Ils s’en prennent au messager, déclare à The Intercept Jillian York, directrice de la liberté d’expression internationale au sein de l’EFF. Je ne pense pas que les membres du groupe cautionnent nécessairement les agissements des personnes qu’ils ont hébergées. Ce qu’ils cautionnent, c’est la liberté d’héberger, la possibilité de rester anonyme et de préserver sa vie privée. »

Autistici/Inventati nie de son côté « toutes les allégations » de l’administration Trump et clame son intention de résister.

« Nous ne reculerons pas. Nous continuerons à œuvrer comme nous l’avons fait depuis des années et nous mettrons tout en œuvre pour contrer les fausses allégations d’un gouvernement aux abois politiquement, dont le seul but est de détourner l’attention du public et des médias de ses propres actes de violence et de bellicisme.

L’antifascisme et l’anticapitalisme ne sont pas du terrorisme. Manifester n’est pas du terrorisme. Et chacun a le droit de s’exprimer et de lutter pour l’humanité. »

En France, Framasoft et la Quadrature du Net ont signé et relayé la lettre ouverte initialement publiée par Sabot Media qui appelle à la révocation de cette classification, ainsi qu’à une distinction claire entre la fourniture d’infrastructure de communication et la direction des agissements de ses utilisateurs et utilisatrices.

« Nous n’attendons pas de chaque signataire qu’il ou elle cautionne toute publication ou position politique d’A/I, ou de ses utilisateurs et utilisatrices. Nous attendons des signataires qu’ils et elles défendent une distinction structurelle : l’infrastructure de communication n’est pas la même chose que les discours ou agissements qui transitent à travers elle », écrivent les signataires.

Liberté d’expression : nouvelle offensive US contre les règles européennes de modération

Hangers sitting dripped in oil crying freedom

Le collectif hacktiviste d’origine italienne Autistici/Inventati, qui fournit des services alternatifs d’hébergement et de messagerie, vient d’être désigné comme « organisation terroriste » par les États-Unis. Suivie du blocage de son nom de domaine en .org, la mesure vise à couper les moyens d’une initiative accusée d’outiller les mouvements d’ultragauche. Le collectif dénonce une attaque contre la liberté d’expression et assure qu’il ne se laissera pas faire.

Pour la première fois, les États-Unis assimilent une infrastructure numérique à une action terroriste. L’administration Trump vient en effet de classer le mouvement d’origine italienne Autistici/Inventati parmi les « organisations terroristes mondiales spécialement désignées » (on parle de SDGT, pour specially designated global terrorist).

Elle lui reproche d’héberger 16 000 boîtes mail, 1 500 sites et 10 000 blogs sur une plateforme devenue le « nœud clé d’une campagne transnationale menée par des réseaux d’extrême gauche violents et criminels visant à déstabiliser les États-Unis et leurs partenaires en Europe, dans l’hémisphère occidental et au-delà ».

Une sanction aux répercussions immédiates

L’action a été décrétée conjointement par le département d’État (l’équivalent du ministère des Affaires étrangères) dirigé par Marco Rubio et par le département du Trésor le 26 août.

Elle s’appuie sur le fondement juridique du décret exécutif 13 224 émis par George W. Bush suite aux attaques du 11 septembre 2001 qui dote l’administration états-unienne de pouvoirs de sanctions contre les organisations ou les personnes accusées d’avoir fourni des ressources ou des services ayant contribué à un acte de terrorisme. « Cette désignation s’inscrit dans le cadre d’un effort plus vaste du gouvernement américain visant à lutter contre la menace du terrorisme transnational d’extrême gauche », décrit le département d’État.

D’après ce même département d’État, Autistici/Inventati fournit son infrastructure à des « cellules violentes d’Antifa et d’autres militants d’extrême gauche à travers le monde », et permet à ces dernières d’opérer sous les radars légaux :

« Ces outils sont spécifiquement conçus pour soutenir les opérations des réseaux terroristes d’extrême gauche, construits pour leur permettre de s’organiser, de recruter, de communiquer, de diffuser de la propagande, de partager des informations et des tactiques sur les cibles, et de mener des attaques violentes – tout en restant anonymes, intraçables et hors de portée de la loi. »

La désignation d’Autistici/Inventati comme membre de cette liste noire entraîne le blocage de toutes les ressources dont pourrait disposer le collectif aux États-Unis. Du côté du Trésor, cette qualification en tant que SDGT déclenche une sanction prononcée par l’OFAC (Office of Foreign Assets Control), qui interdit toute relation commerciale avec l’entité désignée. Une licence générale (PDF) en précise les modalités : elle autorise une fenêtre de wind down (liquidation) jusqu’au 25 septembre 2026, date à laquelle les banques, hébergeurs, prestataires ou opérateurs financiers devront avoir totalement coupé les ponts avec Autistici/Inventati.

La mesure a entraîné deux répercussions rapides. Le 28 août, Autistici/Inventati a en effet constaté le blocage de son compte PayPal, utilisé notamment pour recueillir les dons qui financent ses activités, puis la suspension du nom de domaine de l’un de ses sites web, autistici.org. Une analyse technique indépendante confirme que ce blocage a été réalisé au niveau du registre PIR qui gère le .org. Le site en question (hébergé par Open Networks Association en Suisse) n’a donc pas été saisi, et reste accessible au prix de quelques manipulations techniques. Les mails fournis en @autistici.org sont quant à eux inopérants.

Autistici/Inventati conserve par ailleurs l’essentiel de sa présence en ligne, à commencer par son autre domaine principal, inventati.org, et sa plateforme noblogs.org. Le mouvement craint cependant que les sanctions états-uniennes aient un impact plus sérieux sur ses activités.

Sur son blog collectif, il indique ainsi avoir été averti par sa banque italienne, Banca Etica, que celle-ci allait cesser de lui prodiguer des services financiers. « Il s’agit d’une étape importante, car elle montre comment une décision prise par une autorité américaine peut avoir des conséquences concrètes, y compris sur les relations financières d’une organisation italienne, qui a jugé trop risqué de maintenir ses relations avec A/I », remarque le collectif.

« anti-fascism, anti-racism, anti-sexism, anti-militarism »

Autistici/Inventati résume sa raison d’être dans un manifeste écrit en 2002. Le collectif revendique une idéologie « anti-fascisme, anti-racisme, anti-sexisme, anti-militarisme », et affirme que sa mission consiste à mettre des outils de communication alternatifs (comprendre, non commerciaux) à destination de tous ceux qui partagent ses idées, et luttent pour les défendre.

Ses services comprennent notamment une messagerie (boîte mail), un outil de gestion de listes de diffusion et newsletters, des canaux de messagerie instantanée, de l’hébergement, des outils dédiés à l’anonymat et la plateforme de blogs noblogs.org, notoirement utilisée par des collectifs antifascistes (notamment français).

Partisan d’un « activisme radical », A/I assume de réserver ses services « exclusivement aux personnes ou aux groupes avec lesquels nous ressentons une affinité » :

« Nous sommes un collectif de militants numériques, d’antifascistes et d’anticapitalistes. Nous croyons en une technologie qui n’est pas un carcan mais un outil de libération. Où les courriels restent des lettres confidentielles, et non des fichiers ouverts. Où l’hébergement n’est pas une prison mais un refuge pour les idées dérangeantes, pour les débats que le marché refuse d’acheter et que l’État refuse de museler. »

Des canaux utilisés pour préparer des actions terroristes

Bien qu’A/I se contente de fournir des outils techniques, l’administration Trump estime que son action participe directement de celles de groupuscules extrémistes relevant du terrorisme.

Le département d’État affirme ainsi que les cellules anarchistes ayant saboté les réseaux ferroviaires en France, Italie, Allemagne et Pays-Bas en 2026 utilisaient A/I pour revendiquer leurs attaques. Il accuse également A/I d’avoir fourni des services au collectif Rose City Antifa, dans l’Oregon, lequel aurait attaqué des hélicoptères des douanes, et diffusé des appels à attaquer les agents de l’ICE, la tristement célèbre police de l’immigration, accompagnés d’informations personnelles.

• Les services d’immigration américains vont surveiller les réseaux sociaux en permanence

Il décrit également comment un « groupe médiatique d’extrême gauche », cité dans une enquête fédérale pour terrorisme, utiliserait les outils d’A/I pour diffuser des appels à l’action en faveur d’organisations déjà désignées comme terroristes par les États-Unis, parmi lesquelles le Hamas, le Hezbollah ou le Front populaire de libération de la Palestine :

« Bon nombre de ces groupes se sont appuyés sur l’infrastructure numérique du collectif A/I pour planifier ou inciter à des attaques violentes, recruter d’autres personnes pour se livrer à des activités criminelles, publier des communiqués officiels d’organisations terroristes étrangères désignées par les États-Unis et diffuser des cartes d’infrastructures critiques, ainsi que des instructions pour la fabrication d’engins explosifs improvisés et incendiaires – le tout acheminé via un réseau de serveurs étrangers destiné à dissimuler les activités criminelles aux forces de l’ordre. »

D’autres apportent un constat plus nuancé. « Certains des sites NoBlogs les plus connus appartiennent à des chercheurs qui se consacrent exclusivement à documenter la haine et la radicalisation d’extrême droite, sans jamais agir concrètement, se contentant de révéler la réalité », remarque par exemple le compte d’un de ces collectifs de recherche.

De son côté, A/I dénonce le caractère arbitraire de la décision, et l’assimile à une forme de censure à laquelle, justement, le collectif se refuse. « Nous ne censurons pas les contenus à l’avance. Si la loi nous oblige à retirer un contenu, nous le faisons, puis nous nous battons pour le remettre en ligne. Notre limite, c’est la loi ; notre boussole, c’est la liberté », défend-il dans un appel à soutien.

Medium contre message

Il soulève dans le même temps la question de fond posée par cette sanction états-unienne :

« Ce cas est intéressant car il déplace l’attention de la responsabilité de ceux qui commettent une action vers celle des fournisseurs d’infrastructures permettant la communication, l’organisation ou la publication de contenu.

La question ne concerne pas uniquement A/I. Le même principe pourrait, en théorie, s’appliquer aux fournisseurs de messagerie électronique, aux services cloud, aux hébergeurs, aux plateformes de messagerie, aux systèmes de paiement ou aux bureaux d’enregistrement de noms de domaine. Il s’agit de déterminer à quel moment la fourniture d’un service à usage général devient, au regard des lois applicables, un « soutien matériel » à une organisation terroriste. »

La question interpelle également l’Electronic Frontier Foundation (EFF) qui voit dans cette sanction une menace plus large que le simple cas d’A/I. « Ils s’en prennent au messager, déclare à The Intercept Jillian York, directrice de la liberté d’expression internationale au sein de l’EFF. Je ne pense pas que les membres du groupe cautionnent nécessairement les agissements des personnes qu’ils ont hébergées. Ce qu’ils cautionnent, c’est la liberté d’héberger, la possibilité de rester anonyme et de préserver sa vie privée. »

Autistici/Inventati nie de son côté « toutes les allégations » de l’administration Trump et clame son intention de résister.

« Nous ne reculerons pas. Nous continuerons à œuvrer comme nous l’avons fait depuis des années et nous mettrons tout en œuvre pour contrer les fausses allégations d’un gouvernement aux abois politiquement, dont le seul but est de détourner l’attention du public et des médias de ses propres actes de violence et de bellicisme.

L’antifascisme et l’anticapitalisme ne sont pas du terrorisme. Manifester n’est pas du terrorisme. Et chacun a le droit de s’exprimer et de lutter pour l’humanité. »

En France, Framasoft et la Quadrature du Net ont signé et relayé la lettre ouverte initialement publiée par Sabot Media qui appelle à la révocation de cette classification, ainsi qu’à une distinction claire entre la fourniture d’infrastructure de communication et la direction des agissements de ses utilisateurs et utilisatrices.

« Nous n’attendons pas de chaque signataire qu’il ou elle cautionne toute publication ou position politique d’A/I, ou de ses utilisateurs et utilisatrices. Nous attendons des signataires qu’ils et elles défendent une distinction structurelle : l’infrastructure de communication n’est pas la même chose que les discours ou agissements qui transitent à travers elle », écrivent les signataires.

Liberté d’expression : nouvelle offensive US contre les règles européennes de modération

Jamespot, éditeur français d’une suite collaborative en mode cloud, a annoncé lundi 31 août l’acquisition d’Alinto, l’un des vétérans français de la messagerie électronique. Fondée en 2000 et basée à Lyon, Alinto revendique un millier de clients entreprise (en France mais aussi en Suisse, en Espagne et au Canada), un million d’utilisateurs finaux, et le routage quotidien d’environ 100 millions de mails.

« Avec Alinto, nous franchissons une étape décisive : la messagerie était la dernière pièce du puzzle pour offrir aux organisations une alternative française vraiment complète. Notre plateforme couvre désormais le mail, la collaboration et l’intelligence artificielle, sur trois infrastructures souveraines opérées en France et en Europe », se réjouit dans un communiqué Alain Garnier, CEO et cofondateur de Jamespot.

Forte de cette acquisition, Jamespot revendique sa capacité à offrir aux entreprises et aux administrations une alternative aux suites Microsoft 365 et Google Workspace, dont les messageries règnent en maître sur le marché professionnel, des entreprises du CAC 40 aux startups de la French Tech en passant par moult mairies et ministères.

• Les emails : analyse technique et enjeux de souveraineté

Jamespot affiche de son côté « plus de 350 organisations clientes et plus de 400 000 utilisateurs en France et à travers le monde ». Le montant de la transaction n’a pas été communiqué.

Jamespot, éditeur français d’une suite collaborative en mode cloud, a annoncé lundi 31 août l’acquisition d’Alinto, l’un des vétérans français de la messagerie électronique. Fondée en 2000 et basée à Lyon, Alinto revendique un millier de clients entreprise (en France mais aussi en Suisse, en Espagne et au Canada), un million d’utilisateurs finaux, et le routage quotidien d’environ 100 millions de mails.

« Avec Alinto, nous franchissons une étape décisive : la messagerie était la dernière pièce du puzzle pour offrir aux organisations une alternative française vraiment complète. Notre plateforme couvre désormais le mail, la collaboration et l’intelligence artificielle, sur trois infrastructures souveraines opérées en France et en Europe », se réjouit dans un communiqué Alain Garnier, CEO et cofondateur de Jamespot.

Forte de cette acquisition, Jamespot revendique sa capacité à offrir aux entreprises et aux administrations une alternative aux suites Microsoft 365 et Google Workspace, dont les messageries règnent en maître sur le marché professionnel, des entreprises du CAC 40 aux startups de la French Tech en passant par moult mairies et ministères.

• Les emails : analyse technique et enjeux de souveraineté

Jamespot affiche de son côté « plus de 350 organisations clientes et plus de 400 000 utilisateurs en France et à travers le monde ». Le montant de la transaction n’a pas été communiqué.

Utopistes debout ! J'ai des lyrics en stock

Un consortium de maisons de disques emmené par Sony Music et Warner Chappell a déposé vendredi une plainte contre Anthropic et ses dirigeants. Il les accuse notamment d’avoir aspiré des paroles de chanson sur des sites spécialisés, en violation des conditions d’utilisation de ces derniers. La plainte s’appuie en partie sur les fondements juridiques de l’affaire Bartz, qu’Anthropic a choisi de solder en réglant 1,5 milliard de dollars.

Après les auteurs de livres, c’est au tour des maisons de disques de dégainer l’arsenal juridique pour tenter d’obtenir réparation de la façon dont Anthropic aurait exploité des contenus protégés par le droit d’auteur pour entraîner ses modèles Claude. Sony Music Publishing et Warner Chappell, ainsi que leurs nombreuses filiales, ont déposé une plainte formelle visant Anthropic et ses dirigeants le 28 août dernier.

Sony et Warner sonnent la charge

Relayée par MusicBusinessWorldwide (PDF), la plainte affirme qu’Anthropic et ses fondateurs, Dario Amodei et Benjamin Mann, ont mené « une campagne éhontée de téléchargements illégaux » d’œuvres protégées par le droit d’auteur. Dans le lot figureraient « des milliers de compositions musicales d’éditeurs de musique, dont des chansons populaires telles que Ain’t No Mountain High Enough, All I Want for Christmas is You, Eye of the Tiger, Here Comes Santa Claus et Paper Rings », déclarent les plaignants.

Sony Music et Warner s’appuient en partie sur les pièces et conclusions de la grande action collective lancée à l’encontre d’Anthropic en août 2024, et qui accusait l’entreprise d’avoir procédé à des téléchargements massifs de livres sur BitTorrent et via des bibliothèques clandestines comme LibGen. L’affaire s’était soldée fin 2025 par un accord à 1,5 milliard de dollars, finalement entériné par la justice en juillet 2026.

Les maisons de disques s’associent a posteriori à la démarche. « Parmi les millions de livres que les accusés ont téléchargés illégalement depuis ces sites web pirates, figuraient des ouvrages contenant les paroles et les partitions de centaines, voire plus, de compositions musicales protégées par le droit d’auteur », estiment-elles dans leur plainte.

Elles y ajoutent certaines accusations plus spécifiques, telles que la récupération de paroles de chansons sur des sites spécialisés comme MusixMatch ou LyricFind qui, eux, paient des licences aux maisons de disques. La plainte fait également valoir qu’Anthropic enlève intentionnellement des données ainsi récupérées les mentions légales ou contractuelles relatives au droit d’auteur, pour que ces dernières n’apparaissent pas dans les sorties fournies par ses modèles :

« Autrement dit, Anthropic souhaite uniquement que Claude s’entraine sur le contenu expressif des compositions musicales des éditeurs de musique, comme les paroles, car ce contenu génère une valeur ajoutée pour les utilisateurs et clients d’Anthropic, tandis que [l’information relative au droit d’auteur, dite CMI pour Copyright Management Information] n’en génère aucune pour Anthropic et, plus important encore, fournit aux titulaires de droits d’auteur une preuve directe des violations commises par Anthropic. »

« Substituts commerciaux nuisibles »

Les maisons de disques arguent par ailleurs d’un préjudice financier réel, qui découlerait de la capacité des modèles à Claude à générer des paroles de chanson inspirées de morceaux réels :

« Anthropic apprend à ses modèles Claude à générer de vastes quantités de paroles de chansons prétendument « nouvelles » générées par l’IA, qui concurrencent les œuvres légitimes protégées par le droit d’auteur des éditeurs de musique en tant que substituts commerciaux nuisibles. »

Elles font au passage valoir que d’autres entreprises d’IA ont déjà conclu des accords de licence avec des éditeurs de musique et réclament, sans surprise, des mesures injonctives à l’encontre d’Anthropic, ainsi que des dommages et intérêts dans les proportions maximales prévues par le Copyright Act, soit des sommes qui se compteraient en milliards de dollars.

Anthropic n’a pour l’instant pas réagi publiquement.

Utopistes debout ! J'ai des lyrics en stock

Un consortium de maisons de disques emmené par Sony Music et Warner Chappell a déposé vendredi une plainte contre Anthropic et ses dirigeants. Il les accuse notamment d’avoir aspiré des paroles de chanson sur des sites spécialisés, en violation des conditions d’utilisation de ces derniers. La plainte s’appuie en partie sur les fondements juridiques de l’affaire Bartz, qu’Anthropic a choisi de solder en réglant 1,5 milliard de dollars.

Après les auteurs de livres, c’est au tour des maisons de disques de dégainer l’arsenal juridique pour tenter d’obtenir réparation de la façon dont Anthropic aurait exploité des contenus protégés par le droit d’auteur pour entraîner ses modèles Claude. Sony Music Publishing et Warner Chappell, ainsi que leurs nombreuses filiales, ont déposé une plainte formelle visant Anthropic et ses dirigeants le 28 août dernier.

Sony et Warner sonnent la charge

Relayée par MusicBusinessWorldwide (PDF), la plainte affirme qu’Anthropic et ses fondateurs, Dario Amodei et Benjamin Mann, ont mené « une campagne éhontée de téléchargements illégaux » d’œuvres protégées par le droit d’auteur. Dans le lot figureraient « des milliers de compositions musicales d’éditeurs de musique, dont des chansons populaires telles que Ain’t No Mountain High Enough, All I Want for Christmas is You, Eye of the Tiger, Here Comes Santa Claus et Paper Rings », déclarent les plaignants.

Sony Music et Warner s’appuient en partie sur les pièces et conclusions de la grande action collective lancée à l’encontre d’Anthropic en août 2024, et qui accusait l’entreprise d’avoir procédé à des téléchargements massifs de livres sur BitTorrent et via des bibliothèques clandestines comme LibGen. L’affaire s’était soldée fin 2025 par un accord à 1,5 milliard de dollars, finalement entériné par la justice en juillet 2026.

Les maisons de disques s’associent a posteriori à la démarche. « Parmi les millions de livres que les accusés ont téléchargés illégalement depuis ces sites web pirates, figuraient des ouvrages contenant les paroles et les partitions de centaines, voire plus, de compositions musicales protégées par le droit d’auteur », estiment-elles dans leur plainte.

Elles y ajoutent certaines accusations plus spécifiques, telles que la récupération de paroles de chansons sur des sites spécialisés comme MusixMatch ou LyricFind qui, eux, paient des licences aux maisons de disques. La plainte fait également valoir qu’Anthropic enlève intentionnellement des données ainsi récupérées les mentions légales ou contractuelles relatives au droit d’auteur, pour que ces dernières n’apparaissent pas dans les sorties fournies par ses modèles :

« Autrement dit, Anthropic souhaite uniquement que Claude s’entraine sur le contenu expressif des compositions musicales des éditeurs de musique, comme les paroles, car ce contenu génère une valeur ajoutée pour les utilisateurs et clients d’Anthropic, tandis que [l’information relative au droit d’auteur, dite CMI pour Copyright Management Information] n’en génère aucune pour Anthropic et, plus important encore, fournit aux titulaires de droits d’auteur une preuve directe des violations commises par Anthropic. »

« Substituts commerciaux nuisibles »

Les maisons de disques arguent par ailleurs d’un préjudice financier réel, qui découlerait de la capacité des modèles à Claude à générer des paroles de chanson inspirées de morceaux réels :

« Anthropic apprend à ses modèles Claude à générer de vastes quantités de paroles de chansons prétendument « nouvelles » générées par l’IA, qui concurrencent les œuvres légitimes protégées par le droit d’auteur des éditeurs de musique en tant que substituts commerciaux nuisibles. »

Elles font au passage valoir que d’autres entreprises d’IA ont déjà conclu des accords de licence avec des éditeurs de musique et réclament, sans surprise, des mesures injonctives à l’encontre d’Anthropic, ainsi que des dommages et intérêts dans les proportions maximales prévues par le Copyright Act, soit des sommes qui se compteraient en milliards de dollars.

Anthropic n’a pour l’instant pas réagi publiquement.

Amerika ist wunderbar

Donald Trump a ordonné par décret que le lac Ontario soit renommé lac d’Amérique (Lake America). Google a rapidement implémenté le changement dans son service Maps, mais uniquement pour les internautes basés aux États-Unis. Le lac apparaît toujours comme Lac Ontario pour les Canadiens, tandis que le reste du monde voit les deux dénominations.

Mise à jour 1er/09 – Apple n’aura pas laissé planer le suspense très longtemps. Le constructeur a mis à jour son application Plans pour intégrer la lubie du cartographe en chef de la Maison Blanche. Le lac Ontario est désormais rebaptisé « Lac d’Amérique » dans l’app depuis les États-Unis.

Côté canadien, le grand lac conserve son nom d’origine, qui dérive du huron (« Ontarí’io »), donc bien avant la création du Canada ou des États-Unis. La province canadienne du même nom a été baptisée à partir du lac, et non l’inverse. Dans le reste du monde, le lac affiche deux noms, le vrai et le fake. Les mauvaises langues retiendront que l’ère de John Ternus à la tête d’Apple débute par un empressement certain à se plier à une injonction de Donald Trump.

Article original, 31/08 – Après le Golfe du Mexique renommé en Golfe d’Amérique en janvier 2025, Donald Trump intervient à sa façon dans la guerre douanière qui l’oppose au Canada avec une mesure de rétorsion symbolique : par décret présidentiel daté du 27 août, il ordonne que le lac Ontario soit renommé lac d’Amérique.

Une nouvelle dénomination appliquée séance tenante

« Le lac Ontario, qui constitue aujourd’hui un atout considérable pour les États-Unis, fait partie intégrante de notre patrimoine national. Ses eaux les plus profondes se trouvant en territoire américain, les États-Unis revendiquent la majeure partie de son volume, écrit Donald Trump. En reconnaissance de cette ressource économique florissante et de son importance cruciale pour l’économie de notre nation et pour son peuple, j’ordonne que le lac soit officiellement rebaptisé Lac Amérique. »

Le décret ordonne spécifiquement la mise à jour sous trente jours du Geographic Names Information System (GNIS), et confie à ce dernier la mission de veiller à ce que l’administration fédérale utilise la nouvelle dénomination, « y compris sur les cartes, les contrats et autres documents et communications des ministères et agences exécutifs ».

Le décret présidentiel a été doublé d’une ordonnance à effet immédiat, émanant du département de l’Intérieur. Le GNIS s’est rapidement exécuté : la fiche dédiée au lac Ontario reflète maintenant la nouvelle dénomination souhaitée par Donald Trump.

Google dit simplement suivre les règles

Google a implémenté le changement samedi 29 août au niveau de Google Maps, mais a choisi d’en limiter la portée, exactement comme pour le golfe du Mexique. Le moteur de recherche s’en est sobrement expliqué :

« Suite à la mise à jour de Google Maps pour refléter les changements de noms publiés dans les sources gouvernementales officielles (GNIS pour les États-Unis), les utilisateurs états-uniens verront « Lake America », les Canadiens continueront de voir « Lake Ontario », et les utilisateurs hors des États-Unis et du Canada verront les deux noms. Ces mises à jour s’inscrivent dans notre politique de longue date concernant les étendues d’eau dont le nom varie d’un pays à l’autre, et leur déploiement est en cours. »

Quid des autres acteurs de la cartographie ? Apple n’a pas encore réagi, mais la firme avait fini par refléter le nouveau nom souhaité par Trump pour le golfe du Mexique en février 2025, en se rangeant, comme Google, derrière le caractère officiel de la dénomination actée par le GNIS. Il est donc probable que son service Plans reflète le nouveau nom du lac Ontario pour les utilisateurs situés aux États-Unis.

D’autres ont choisi de prendre le mors aux dents. MapQuest, acteur historique de la cartographie, affirme qu’il ne changera pas son affichage, et propose en guise de pied de nez un générateur de nouveaux noms pour le lac Ontario.

Kathy Hochul, gouverneure démocrate de l’État de New York, voisin immédiat du lac Ontario, a quant à elle déclaré que son administration n’appliquerait pas le changement.

Guerre d’édition en vue sur OpenStreetMap ?

La question s’est aussi rapidement invitée dans les forums du service collaboratif OpenStreetMap, chez qui l’épisode golfe du Mexique avait entraîné une succession d’éditions doublée d’un long débat.

La discussion dédiée s’oriente vers un consensus similaire à celui trouvé début 2025. Le nouveau nom souhaité par Trump sera bien reflété sur la carte collaborative, mais il est assorti d’un attribut, official_name:en-US=*, qui en limite la portée. En pratique et comme l’explique la documentation dédiée, il faut que le processus de rendu implémenté par le service qui appelle les données OSM réclame spécifiquement cet attribut pour que le nom ressorte. À défaut, la carte conserve le nom usuel.

Doug Ford, premier ministre de l’Ontario, a quant à lui réagi en faisant installer, dimanche, une grande pancarte clamant « Lac Ontario – aujourd’hui et pour toujours ».

Amerika ist wunderbar

Donald Trump a ordonné par décret que le lac Ontario soit renommé lac d’Amérique (Lake America). Google a rapidement implémenté le changement dans son service Maps, mais uniquement pour les internautes basés aux États-Unis. Le lac apparaît toujours comme Lac Ontario pour les Canadiens, tandis que le reste du monde voit les deux dénominations.

Mise à jour 1er/09 – Apple n’aura pas laissé planer le suspense très longtemps. Le constructeur a mis à jour son application Plans pour intégrer la lubie du cartographe en chef de la Maison Blanche. Le lac Ontario est désormais rebaptisé « Lac d’Amérique » dans l’app depuis les États-Unis.

Côté canadien, le grand lac conserve son nom d’origine, qui dérive du huron (« Ontarí’io »), donc bien avant la création du Canada ou des États-Unis. La province canadienne du même nom a été baptisée à partir du lac, et non l’inverse. Dans le reste du monde, le lac affiche deux noms, le vrai et le fake. Les mauvaises langues retiendront que l’ère de John Ternus à la tête d’Apple débute par un empressement certain à se plier à une injonction de Donald Trump.

Article original, 31/08 – Après le Golfe du Mexique renommé en Golfe d’Amérique en janvier 2025, Donald Trump intervient à sa façon dans la guerre douanière qui l’oppose au Canada avec une mesure de rétorsion symbolique : par décret présidentiel daté du 27 août, il ordonne que le lac Ontario soit renommé lac d’Amérique.

Une nouvelle dénomination appliquée séance tenante

« Le lac Ontario, qui constitue aujourd’hui un atout considérable pour les États-Unis, fait partie intégrante de notre patrimoine national. Ses eaux les plus profondes se trouvant en territoire américain, les États-Unis revendiquent la majeure partie de son volume, écrit Donald Trump. En reconnaissance de cette ressource économique florissante et de son importance cruciale pour l’économie de notre nation et pour son peuple, j’ordonne que le lac soit officiellement rebaptisé Lac Amérique. »

Le décret ordonne spécifiquement la mise à jour sous trente jours du Geographic Names Information System (GNIS), et confie à ce dernier la mission de veiller à ce que l’administration fédérale utilise la nouvelle dénomination, « y compris sur les cartes, les contrats et autres documents et communications des ministères et agences exécutifs ».

Le décret présidentiel a été doublé d’une ordonnance à effet immédiat, émanant du département de l’Intérieur. Le GNIS s’est rapidement exécuté : la fiche dédiée au lac Ontario reflète maintenant la nouvelle dénomination souhaitée par Donald Trump.

Google dit simplement suivre les règles

Google a implémenté le changement samedi 29 août au niveau de Google Maps, mais a choisi d’en limiter la portée, exactement comme pour le golfe du Mexique. Le moteur de recherche s’en est sobrement expliqué :

« Suite à la mise à jour de Google Maps pour refléter les changements de noms publiés dans les sources gouvernementales officielles (GNIS pour les États-Unis), les utilisateurs états-uniens verront « Lake America », les Canadiens continueront de voir « Lake Ontario », et les utilisateurs hors des États-Unis et du Canada verront les deux noms. Ces mises à jour s’inscrivent dans notre politique de longue date concernant les étendues d’eau dont le nom varie d’un pays à l’autre, et leur déploiement est en cours. »

Quid des autres acteurs de la cartographie ? Apple n’a pas encore réagi, mais la firme avait fini par refléter le nouveau nom souhaité par Trump pour le golfe du Mexique en février 2025, en se rangeant, comme Google, derrière le caractère officiel de la dénomination actée par le GNIS. Il est donc probable que son service Plans reflète le nouveau nom du lac Ontario pour les utilisateurs situés aux États-Unis.

D’autres ont choisi de prendre le mors aux dents. MapQuest, acteur historique de la cartographie, affirme qu’il ne changera pas son affichage, et propose en guise de pied de nez un générateur de nouveaux noms pour le lac Ontario.

Kathy Hochul, gouverneure démocrate de l’État de New York, voisin immédiat du lac Ontario, a quant à elle déclaré que son administration n’appliquerait pas le changement.

Guerre d’édition en vue sur OpenStreetMap ?

La question s’est aussi rapidement invitée dans les forums du service collaboratif OpenStreetMap, chez qui l’épisode golfe du Mexique avait entraîné une succession d’éditions doublée d’un long débat.

La discussion dédiée s’oriente vers un consensus similaire à celui trouvé début 2025. Le nouveau nom souhaité par Trump sera bien reflété sur la carte collaborative, mais il est assorti d’un attribut, official_name:en-US=*, qui en limite la portée. En pratique et comme l’explique la documentation dédiée, il faut que le processus de rendu implémenté par le service qui appelle les données OSM réclame spécifiquement cet attribut pour que le nom ressorte. À défaut, la carte conserve le nom usuel.

Doug Ford, premier ministre de l’Ontario, a quant à lui réagi en faisant installer, dimanche, une grande pancarte clamant « Lac Ontario – aujourd’hui et pour toujours ».