Tic tac

Toujours dans le lent cheminement menant de X11 à Wayland, l’équipe de KDE vient de confirmer le 26 novembre que la future mouture 6.8 de KDE Plasma n’aura plus de session X11.

Plasma 6.8 n’aura donc plus qu’une session Wayland. Comme GNOME récemment, les applications X11 seront confiées aux bons soins de XWayland. Comme nous l’avions expliqué dans notre dossier dédié, ce dernier permet de traiter les demandes pour l’ancien serveur d’affichage en enfermant ce dernier dans un client Wayland. La session X11, elle, disparaitra. Selon l’équipe de développement, « ce changement ouvre de nouvelles opportunités pour les fonctionnalités, les optimisations et la rapidité de développement ».

• X11, Wayland : pourquoi la transition est-elle aussi longue ?

KDE lance le compte à rebours

Dans l’ensemble, l’équipe de KDE prévoit un support de X11 dans Plasma jusqu’à début 2027. Le support pourrait être plus long dans Plasma 6.7, l’équipe prévoyant de publier des versions supplémentaires de corrections de bugs. Pour un besoin plus long, le billet recommande de s’orienter vers des distributions dont le support LTS garantit la présence de X11 pour l’instant. AlmaLinux 9 et son support jusqu’en 2032 sont donnés comme exemple.

L’équipe de KDE veut rassurer sur le support des applications via XWayland. Elle précise qu’elle a ajouté des fonctions supplémentaires de compatibilité, dont une prise en charge améliorée pour la mise à l’échelle fractionnée et une compatibilité rétroactive (optionnelle) pour les raccourcis généraux de X11 et l’émulation d’entrée (input).

Un support complet en bonne voie

Dans le billet, on trouve d’autres éléments intéressants. Par exemple, au sein de KDE lui-même, le support de X11 reste présent, permettant de lancer des applications KDE dans d’autres environnements de bureau. Le support des cartes NVIDIA est jugé en très bon état, même s’il faut passer par le pilote propriétaire. Côté accessibilité, l’équipe estime que les fonctions sont au même niveau qu’avec X11, avec des améliorations spécifiques dans Wayland, notamment dans les gestes tactiles sur touchpad. Il pourrait cependant y avoir quelques problèmes avec d’autres fonctions fournies par certaines applications tierces.

Les développeurs de KDE précisent quand même qu’il reste un certain nombre de problèmes importants, mais que le travail de correction est en bonne voie. Une partie d’entre eux seront corrigés dès la prochaine mouture 6.6, comme la mise en miroir pour la sortie vidéo. D’autres soucis, comme la restauration de session ou la mémorisation des positions de fenêtres, sont « activement travaillés ».

Il s’écoulera donc du temps avant que X11 disparaisse de KDE Plasma, mais le compte à rebours est lancé. Selon le calendrier actuel, KDE Plasma 6.8 est prévu pour octobre 2026, laissant près d’un an pour corriger les derniers problèmes. À noter que la plupart des distributions avec KDE proposent par défaut une session Wayland depuis un moment maintenant.

Intelcia est une des entreprises d’Altice laissée de côté lors du deal proposé par Bouygues Telecom, Free et Orange pour racheter SFR. Il s’agit pour rappel d’une société marocaine de 40 000 employés spécialisée dans les centres d’appels, détenue à 65 % par Altice depuis presque 10 ans. Cela fait un peu plus de deux mois qu’une vente est évoquée.

• Vente de SFR : le poker menteur a débuté ! On vous explique tous les enjeux.

C’est désormais officiel : « Intelcia annonce aujourd’hui une nouvelle étape structurante de son parcours. Le 24 novembre 2025, ses actionnaires dirigeants ont signé un accord avec Altice portant sur la reprise des 65 % du capital que ce dernier détenait depuis 2016 […] Cette opération consolide le contrôle du management d’Intelcia sur l’entreprise, qui détient désormais 100% des parts, et ouvre un nouveau cycle de croissance ».

Karim Bernoussi, CEO et co-fondateur d’Intelcia, en profite pour assurer la promotion de Patrick Drahi : « Nous tenons à exprimer notre gratitude à Altice pour l’accompagnement constant durant ces années. Nous sommes fiers de ce que nous avons réalisé durant près de dix ans. À titre personnel, je tiens à remercier particulièrement Patrick Drahi pour sa confiance et l’esprit de notre collaboration ».

La finalisation de cette transaction est prévue pour le premier trimestre 2026, sous réserve comme toujours de la validation des autorités compétentes. Le montant de la transaction n’est pas connu.

Cette annonce intervient dans une période morose pour Altice, qui vient de publier son bilan financier : des abonnés en moins sur le fixe et le mobile (respectivement 6,08 et 19,36 millions au lieu de 6,17 et 19,52 millions), ainsi que des revenus en baisse de 7,6 % sur un an. Les pertes sur le trimestre sont de 609,9 millions d’euros, contre 619,2 millions un an auparavant.

Et ils pompaient, pompaient…

Alors que le ministère de l’Éducation incite les enseignants à utiliser l’IA sans leur donner un réel cadre d’usage, les quelques enseignants qui l’utilisent doivent bricoler dans leur coin. Il n’y a pas d’outil à disposition pour enseigner leurs usages. Les programmes scolaires ne permettent pas de prendre le temps d’aborder les questions autour du fonctionnement de l’IA générative et des problématiques qui l’entourent.

Depuis l’arrivée de ChatGPT, le milieu de l’éducation se demande comment faire avec… ou sans. Les IA génératives ont remis en question, non seulement la manière dont les élèves peuvent percevoir l’enseignement en classe, mais aussi comment ils peuvent se percevoir eux-mêmes face à l’apprentissage : à quoi bon apprendre si une machine peut recracher pour nous en un instant un savoir qu’on nous demande de retranscrire dans les devoirs ?

De leur côté, les enseignants ont rapidement ressentis les difficultés de détecter un texte généré par IA et de le prouver ou d’adapter leur enseignement et le contrôle de connaissance pour ne pas se poser la question. Des recherches montrent aussi que, comme l’utilisation de l’IA dans les outils d’imagerie médicale fait baisser les capacités de détection du personnel médical, l’utilisation de l’IA dans l’apprentissage des maths en lycée booste les résultats avant de les voir régresser quand on demandent aux élèves de s’en passer.

• Est-ce une bonne idée de booster les outils d’imagerie médicale avec de l’IA ?

Une volonté de la hiérarchie d’y « aller à fond sur l’IA »

On pourrait se dire que l’intégration de l’IA générative au sein même de l’éducation nationale via des cours permettrait d’adapter l’école à ce changement. Le ministère de l’Éducation Nationale semble aller dans cette voie : « L’institution pousse, à l’heure actuelle, à expérimenter tous azimuts. Il y a des initiatives partout de plein de rectorats qui font des expérimentations IA », explique à Next Amélie Hart, secrétaire nationale du syndicat SNES-FSU et enseignante en lycée en Histoire-Géographie, mais sans réel cadre.

« Il y a une volonté de la hiérarchie de l’Éducation nationale à aller à fond sur les IA, y compris en étant hyper mal formés sur les enjeux de la protection des données (qui n’a pas commencé avec l’IA) », ajoute-t-elle. Sur le côté y aller à fond sans formation, on a un peu l’impression de revivre les périodes de confinement avec la « continuité pédagogique ». Cela soulevait les mêmes questions de protection des données et de souveraineté. Cinq ans plus tard, la leçon ne semble pas apprise.

• Continuité pédagogique : caramba, encore raté !

Résultat, « pour l’instant, c’est du bricolage », estime Christophe Cailleaux, le coresponsable du groupe numérique du SNES-FSU, « tout le monde fait à sa sauce et dans son coin ».

Samsung propose depuis longtemps des capteurs photo de 200 Mpixels pour les terminaux mobiles. Il est désormais en concurrence avec Sony qui vient d’annoncer lui aussi un capteur de 200 Mpx, baptisé LYTIA 901. 2025 oblige, il y a de l’IA à l’intérieur… c’est du moins ce qu’annonce Sony.

Il s’agit d’un capteur de 1/1,12 pouce de type CMOS avec des pixels de 0,7 x 0,7 μm environ. Le capteur propose une technologie baptisée Quad-Quad Bayer Coding (QQBC) permettant soit de regrouper les pixels par paquet de 16 pour améliorer le résultat en basse luminosité (avec une image de 12,5 Mpixels) soit de garder la granularité des 200 Mpx pour améliorer le résultat si le zoom est utilisé.

Dans le deuxième cas, Sony parle de « remosaicing ». C’est là qu’on arrive à la partie IA : « Sony a développé une nouvelle technologie de remosacing basée sur l’apprentissage automatique pour la matrice QQBC et a intégré le circuit de traitement à l’intérieur du capteur ». En gros, l’IA à l’intérieur du capteur est du traitement de signal.

Niveau vitesse de capture des images, Sony annonce 10 fps en RAW à 200 Mpixels et jusqu’à 120 fps en 4K2K. Quelques exemples d’images sont disponibles sur cette page.

69, HDD érotique

Seagate continue d’augmenter la capacité de ses plateaux pour disques durs. De 6,5 To l’année dernière, il est désormais question de 6,9 To en laboratoire. Le fabricant vise toujours des HDD de 3,5 pouces de 100 To et plus à long terme. Du côté des ventes, plus d’un million de disques durs HAMR de 30 To et plus ont été expédiés sur le dernier trimestre.

Le stockage suit une progression rapide. Il y a 10 ans à peine, les fabricants étaient à 10 To par disque dur de 3,5 pouces. Désormais, la barrière des 40 To est franchie, toujours avec le même principe général : des plateaux empilés les uns sur les autres.

Dix plateaux est généralement la norme dans la haute capacité, mais Western Digital est monté à 11, puis Toshiba à 12 plateaux (bien qu’il reste des zones d’ombre). C’est de plus en plus compliqué d’en ajouter car les dimensions sont contraintes si l’on veut rester dans le format classique de 3,5 pouces pour une compatibilité maximale.

• L’extraordinaire évolution du stockage

6,9 To par plateau dans les labos de Seagate

Pour augmenter la capacité des disques durs dans leur ensemble, les fabricants augmentent la densité des plateaux. À 40 To avec 10 plateaux, cela donne 4 To par plateau. Passer à 5 To par plateau donnerait des disques durs de 50 To. C’est aussi simple que cela.

L’année dernière, Seagate annonçait avoir atteint, en laboratoire, une capacité de 6,5 To par plateau, soit de quoi mettre sur pied un disque dur de 3,5 pouces de 65 To. La présentation d’une conférence de Stephanie Hernandez (directrice sénior chez Seagate) au Research Center for Magnetic and Spintronic Materials (CMSM) affirme que « des expériences récentes en laboratoire sur la technologie HAMR démontrent une capacité de 6,9 ​​To/disque », comme le rapporte IT Home. On arriverait ainsi à 69 To par HDD.

10 To par plateau en ligne de mire, soit des HDD de 100 To

Sa conférence devait explorer « des idées pour maximiser la capacité de densité surfacique du HAMR à 10 To/disque et au-delà, y compris de nouvelles architectures système et conceptions de lecteurs ». Elle ne semble par contre pas disponible en ligne, impossible donc de savoir de quoi il en retourne. Rien de neuf pour autant puisque, l’année dernière, Seagate visait déjà les 10 To par plateau à l’horizon 2032.

À l’occasion de la publication du bilan financier trimestriel, le patron de Seagate, Dave Mosley, affirmait que les livraisons de disques durs HAMR étaient en augmentation. De plus, les HDD Mozaic 3 +(30 To et plus en HAMR) sont « désormais qualifiés par cinq des plus grands clients cloud au monde » et « nous sommes en bonne voie pour qualifier les trois CSP mondiaux restants au cours du premier semestre de l’année civile 2026 », ajoutait-il pendant la session de questions/réponses.

Les Mozaic 4 + en cours de qualification

Pendant ce temps, le fabricant annonce que « la qualification d’un deuxième fournisseur de services cloud majeur » (sans donner son nom) a débuté pour la plateforme Mozaic de prochaine génération, avec des plateaux de plus de 4 To, soit des disques durs de plus de 40 téraoctets.

Pour l’entreprise, des disques durs avec une très haute capacité sont demandés par des plateformes vidéo des médias sociaux et les nouvelles applications d’IA. « L’IA transforme la façon dont le contenu est consommé et créé, augmentant ainsi la valeur des données et du stockage », affirmait-il ; et Seagate compte bien en être un acteur majeur.

Sur le dernier trimestre comptable, Seagate affirme avoir écoulé 1 million de disques durs Mozaic 3 + de 30 à 36 To. Financièrement, les voyants sont au vert avec 2,63 milliards de dollars de revenus sur le premier trimestre fiscal de 2026, pour des bénéfices de 549 millions de dollars. Il y a un an, c’étaient respectivement 2,168 milliards et 305 millions de dollars.

Une fois de plus, Shine change de main. Moins d’un an après son acquisition par le groupe danois Ageras, la néobanque française, positionnée notamment sur le segment des micro-entreprises et PME, s’apprête en effet à passer dans le giron de l’éditeur Cegid, qui affiche de fait l’ambition de proposer rapidement à ses clients français et européens une plateforme bancaire et comptable intégrée.

« Cette combinaison structurante donnera naissance au premier hub financier cloud-native, piloté par l’IA et entièrement intégré, à destination des PME et des professionnels de la comptabilité en Europe », annonce l’acquéreur dans un communiqué daté du 26 novembre.

Shine, établissement de paiement concurrent d’offres comme Qonto ou N26, apporte dans sa corbeille « plus de 400 000 clients PME, une marque forte et une architecture technologique très évolutive (scalable), élargissant la portée de Cegid sur les principaux marchés européens ». Le montant de l’opération n’a pas été communiqué, mais il serait supérieur à 1 milliard d’euros d’après Les Échos.

Lancée en 2017 avec un discours tourné vers les indépendants, Shine avait été rachetée par Société Générale en 2020 après avoir levé 10,8 millions d’euros en plusieurs tours. Censée incarner les velléités nouvelles du groupe bancaire dans le monde des fintechs, Shine a cependant été revendue en 2024 au groupe danois Ageras, sur fond de changement de direction générale et de réorganisation stratégique chez Société Générale.

Cette nouvelle opération ramène donc Shine en France, entre les mains du groupe Cegid cette fois (fondé par Jean-Michel Aulas et basé à Lyon, aujourd’hui détenu par plusieurs fonds, dont l’américain Silver Lake en tant qu’actionnaire majoritaire). Connu pour ses solutions de comptabilité et de gestion, d’abord logicielles puis déployées sous forme de services cloud, ce dernier voit dans l’intégration de Shine la possibilité d’ajouter la corde paiement et compte pro à son arc, pour ainsi renforcer l’attractivité de son offre face au grand concurrent Pennylane, lui aussi très actif sur la cible des PME.

Rien d'important

Au cours des trois dernières semaines, de nombreuses mairies françaises ont dû avertir une partie de leurs administrés : plusieurs de leurs données personnelles se sont retrouvées dans la nature. Ces piratages, qui seraient menés par le même groupe, s’inscrivent dans un contexte plus large d’attaques contre des prestataires de services.

Un nombre important de mairies, dont beaucoup en Bretagne, ont signalé des incidents cyber. Tous en commun une fuite d’informations : nom, prénom et, selon les cas, adresse postale, adresse e-mail et numéro de téléphone. Des données non sensibles, mais qui peuvent alimenter ensuite les grandes opérations de phishing.

La première mairie à avoir communiqué sur le sujet semble être Brest, le 14 novembre, faisant état d’une fuite de 50 000 données environ. Sur X, SaxX s’empare du sujet et commence à faire l’historique des fuites en commençant par Brest. Le 19 novembre, c’était au tour de Quimper avec 12 000 données, puis le chiffre total s’est rapidement approché des 100 000 avec plusieurs autres villes de Bretagne. Le même jour, on apprenait que la mairie d’Alfortville (Île-de-France cette fois) commençait à envoyer des e-mails concernant là encore une fuite, avec toujours les mêmes caractéristiques.

Il est rapidement apparu que toutes ces mairies n’avaient pas été directement piratées. Les attaques étaient dirigées contre des prestataires de services, notamment deux plateformes fournissant des solutions de prises de rendez-vous : RDV360 et SynBird. Sur le site Bonjourlafuite.eu.org, on peut voir plusieurs mairies référencées, avec des captures des messages envoyés aux personnes concernées.

Plus précisément, les informations sont celles données par les administrés lors des demandes de rendez-vous pour la production d’une pièce d’identité. Dans la plupart des cas, ces informations proviennent de demandes faites entre 2022 et 2025.

Une vigilance particulière demandée

Dans tous les communiqués ou presque, les mairies indiquent qu’une déclaration a été faite à la CNIL (elles y sont légalement tenues) et qu’une plainte a été déposée. Si certaines communications ne le mentionnent pas, d’autres indiquent clairement qu’il s’agit d’un piratage de l’un des deux prestataires, RDV360 ou Synbird.

La fuite toucherait 1 300 communes, selon Le Parisien. Dans ses colonnes, la société savoyarde Synbird a réagi, confirmant le problème : « La fuite concerne les clients qui utilisent notre module de rendez-vous et de réservations de salle. Elle est circonscrite aux rendez-vous pris de début à fin octobre ». L’entreprise affirme avoir retracé l’origine du problème jusqu’à un poste d’employé municipal.

C’est la réutilisation d’un mot de passe, obtenu par une autre fuite, qui aurait permis aux pirates d’accéder au compte d’une mairie cliente. « L’attaquant a ensuite exploité une faille de sécurité dans le logiciel pour exporter des données. Ce problème a depuis été réglé par nos développeurs », a précisé Synbird, qui a ajouté que l’incident avait été déclaré à la CNIL et qu’un dépôt de plainte à la gendarmerie était en cours.

Les conseils donnés dans la plupart des cas sont les mêmes que ceux de la mairie de Brest dans son communiqué du 14 novembre : « aux personnes ayant fait une demande de pièces d’identité pendant cette période une vigilance particulière notamment en cas de démarchages inhabituels par mail et/ou téléphone, ou de demandes de coordonnées bancaires, même émise d’un opérateur connu des usagers ».

Sur son compte, SaxX affirme que ces fuites, pour des données allant de 2021 à novembre 2025, ont été orchestrées par un groupe de cybercriminels nommé « dumpsec » (qui est curieusement le nom d’un outil de sécurité utilisé pour des audits). Ce groupe aurait contacté le hacker et lui aurait fourni un échantillon « de 20 000 lignes concernant RDV360 ». Sur l’ensemble des mairies touchées par l’incident, 14 millions de données auraient été aspirées.

« Aucune donnée sensible »

La plupart des communiqués, à l’instar de ceux d’Ergué-Gébaric et de Guipavas, mettent l’accent sur l’absence de données « sensibles » dans les fuites. « Aucune donnée sensible, aucun document ou pièce d’identité, aucune donnée financière et aucun mot de passe n’ont été prélevés », peut-on lire par exemple dans le communiqué de Guipavas.

Pour autant, ces informations peuvent se révéler dangereuses. Elles alimentent les campagnes de phishing, et peuvent parfois servir à des attaques plus personnalisées, comme on l’a vu avec Ledger très récemment. Même sans ce type d’attaque plus ciblée, les numéros de téléphone et adresses e-mail intègrent de vastes bases de données exploitées pour des tentatives d’arnaques en tous genres.

• Du phishing ciblé directement dans votre boite aux lettres physique, le cas Ledger

Sans aller jusqu’à la communication de Pandora en aout dernier, ce type de communication tend à banaliser les fuites d’informations jugées « non sensibles ». Il est malheureusement vrai que ces fuites sont devenues monnaie courante, avec d’énormes opérations au cours des deux dernières années notamment, dont celles des deux plus gros prestataires de tiers payant en France, ou encore le cas emblématique de France Travail.

On remarque également que ces fuites interviennent une fois de plus dans le cadre de l’exploitation d’une faille chez un partenaire, comme c’était le cas pour France Travail.

♩♫♩ ‎We don't need no thought control ♪ ♩ ♩

En septembre dernier, les enseignants et les élèves entamaient la quatrième année scolaire avec l’IA générative dans toutes les mains. Le ministère a proposé un « Cadre d’usage de l’IA en éducation » mais celui-ci est critiqué pour son manque de clarté et de praticité.

En novembre 2022, OpenAI lançait ChatGPT et, dès ce moment, beaucoup d’élèves et d’étudiants ont utilisé les nouvelles applications pour générer des réponses à leurs devoirs sans qu’ils ne reçoivent de réelle formation à propos de ces outils. Que ce soit pour en connaître leurs fonctionnements, leurs limites ou la façon de les utiliser. En tout cas, dans le cadre d’une structuration claire des savoirs pensée au sein de l’Éducation nationale.

En mai dernier, le ministère de l’Éducation nationale publiait un « Cadre d’usage de l’IA en éducation ». Celui-ci a pour objectif, selon le ministère, « d’apporter des réponses claires aux interrogations légitimes de l’ensemble de la communauté éducative et des agents sur l’usage de l’IA en éducation ». Dans sa présentation, l’institution ajoutait : « l’usage de l’IA est autorisé en éducation dès lors qu’il respecte le cadre défini ».

Pas de consignes claires sauf l’interdiction avant la quatrième

Le Cadre du ministère est un document d’une quinzaine de pages. Mais les premières pages sont surtout composées d’explications sur le pourquoi de ce document, de définitions de l’IA et d’un constat sur les potentialités et les risques dans l’usage de l’IA et évoquent des interrogations que soulèvent certains usages sans entrer dans les détails.

De réponses claires, le document en semble peu pourvu pour faire comprendre aux enseignants comment et quand utiliser l’IA de façon concrète.

Enfin, une chose y est quand même claire : pas d’utilisation pédagogique de l’IA à l’école avant la quatrième. Avant cette classe, les élèves doivent être sensibilisés mais ne peuvent toucher aux outils en classe. Après, l’utilisation de l’IA est autorisée « en lien avec les objectifs des programmes scolaires et du CRCN » (le « cadre de référence des compétences numériques » qui met en place des évaluations des compétences, notamment via les parcours Pix à passer en ligne).

Le ministère « se positionne dans un monde idéal »

Mais, « dans ce cadre d’usage, il n’y a pas de cadre », estime Amélie Hart, secrétaire nationale du syndicat SNES-FSU et enseignante en lycée en Histoire-Géographie, interrogée par Next. Pour elle, ce document devrait expliquer plus précisément les restrictions d’utilisation de l’IA dans l’enseignement.

En avril 2025, Adam Raine, 16 ans, s’est suicidé. Après avoir examiné les traces de ses activités numériques, ses parents ont déposé la première plainte connue contre OpenAI.

En cause : l’historique de conversation d’Adam Raine avec ChatGPT montrait que l’adolescent avait longuement échangé avec le robot conversationnel, et commencé à chercher des méthodes de suicide dès le mois de janvier.

Adam Raine a en particulier utilisé GPT-4o, une version de l’outil dont le ton est connu pour être très affirmatif et flagorneur.

• OpenAI est poursuivi en justice après le suicide d’un adolescent


Ce 25 novembre, OpenAI a déposé devant la Cour supérieure de Californie, à San Francisco, son argumentaire relatif à l’affaire.

Elle y indique que les dommages causés à la victime sont le fait du « mésusage, de l’usage non autorisé, non voulu, imprévisible et impropre de ChatGPT ». Autrement dit, selon l’entreprise, si problème il y a eu en lien avec ChatGPT, c’est parce qu’Adam Raine n’a pas utilisé la machine correctement.

OpenAI explique notamment que, selon ses conditions d’utilisation, les internautes de moins de 18 ans ne doivent normalement pas utiliser ses outils sans le consentement d’un parent ou dépositaire de l’autorité parentale, et que le document interdit aux usagers d’utiliser les termes « suicide », « automutilation » ou de contourner toute forme de garde-fou existant. Adam Raine avait, à plusieurs reprises, indiqué chercher des informations « pour créer un personnage » afin de contourner les blocages initiaux de ChatGPT.

Auprès de NBC, l’avocat de la famille Raine qualifie cet argumentaire de « dérangeant ». Depuis cette première plainte, sept autres ont été déposées contre OpenAI et Sam Altman pour des faits similaires.

L’entreprise a publié ce 25 novembre un article de blog dans lequel elle déclare vouloir traiter les litiges relatifs à la santé mentale avec « soin, transparence et respect ». Elle précise néanmoins que sa réponse à la plainte de la famille Raine inclut des « faits difficiles relatifs à la santé mentale et aux conditions de vie d’Adam Raine ».

• Psychoses induites par IA : le défi de sortir les internautes de leur « spirale » mentale

One Step Beyond...

Si la surveillance des messageries chiffrées a été abandonnée, les plateformes devront scanner les messages privés à l’aide d’IA, introduire des contrôles d’âge obligatoires pour tous les utilisateurs d’Internet, et des conditions strictes risquant d’exclure les adolescents des applications dotées de fonctions de chat.

Après des années de débats, le Conseil européen est parvenu à une position commune sur le projet de « règles en vue de prévenir et de combattre les abus sexuels sur enfants » (Child Sexual Abuse Regulation, CSAR).

Il avait avant tout été retardé par la controverse liée à son pan numérique, et à la gestion des contenus numériques d’abus sexuels sur mineurs (Child Sexual Abuse Material, CSAM). Surnommé ChatControl par ses opposants, le projet de surveillance des messageries a finalement été abandonné au mois d’octobre.

À l’origine, il prévoyait que les forces de l’ordre puissent demander aux entreprises du numérique, plateformes chiffrées de bout en bout comprises, de scanner les échanges sur leurs outils pour repérer du CSAM.

Ce mercredi, les pays de l’Union européenne se sont finalement mis d’accord sur un texte qui supprime les ordonnances de détection obligatoire et met plutôt l’accent sur des mesures renforcées d’atténuation des risques, note Euractiv.

« Chat Control n’est pas mort, il est simplement privatisé »

Le scan volontaire de plateformes à la recherche de CSAM reste néanmoins cité comme outil possible, ce qui inquiète les défenseurs de la vie privée. L’ex-eurodéputé pirate Patrick Breyer avance en effet que « les gros titres sont trompeurs : Chat Control n’est pas mort, il est simplement privatisé » :

« Si le Conseil a supprimé l’obligation de scan, le texte convenu crée un cadre juridique toxique qui incite les géants technologiques américains à scanner sans discernement les communications privées, introduit des contrôles d’âge obligatoires pour tous les utilisateurs d’Internet et menace d’exclure les adolescents de la vie numérique. »

Il souligne que le mandat du Conseil « contraste fortement avec la position du Parlement européen, qui exige que la surveillance ne vise que les suspects et que les contrôles d’âge restent volontaires ». Cela permettra à des fournisseurs tels que Meta ou Google de « scanner tous les chats privés, sans distinction et sans mandat judiciaire », déplore l’ex-eurodéputé.

« Vous aurez besoin d’une carte d’identité pour envoyer un message »

Le mandat autorise en outre le « scan de messages privés, d’images inconnues et de métadonnées à l’aide d’algorithmes et d’une intelligence artificielle ». Et ce, alors que la police fédérale allemande (BKA) a reconnu que 50 % des rapports générés dans le cadre d’un programme volontaire étaient sans intérêt sur le plan pénal, souligne Patrick Breyer :

« Nous sommes confrontés à un avenir où vous aurez besoin d’une carte d’identité pour envoyer un message et où une intelligence artificielle étrangère décidera si vos photos privées sont suspectes. Ce n’est pas une victoire pour la vie privée, c’est un désastre annoncé. »

Patrick Breyer relève en effet que pour se conformer à l’exigence du Conseil d’« identifier de manière fiable les mineurs », les fournisseurs « seront contraints de vérifier l’âge de chaque utilisateur », ce qui repose le problème du partage de documents d’identité avec des entreprises privées (au surplus états-uniennes), et du recours à la reconnaissance faciale.

Une « assignation à résidence numérique » pour les moins de 17 ans

Le texte du Conseil propose de plus d’interdire aux utilisateurs de moins de 17 ans d’utiliser des applications dotées de fonctions de chat, notamment WhatsApp, Instagram et les jeux en ligne populaires, « à moins que des conditions strictes ne soient remplies ».

Cela revient à une « assignation à résidence numérique », isolant les jeunes de leurs cercles sociaux et de l’éducation numérique, déplore Patrick Breyer : « La protection par l’exclusion est un non-sens pédagogique. Au lieu de responsabiliser les adolescents, le Conseil veut les exclure complètement du monde numérique ».

Les négociations (« trilogues ») débuteront prochainement, dans le but de finaliser le texte avant avril 2026, entre la Commission, le Conseil et le Parlement européen. Adoptée en novembre 2023, la position de ce dernier avait supprimé toute mention d’ordonnance de détection sur les plateformes chiffrées.

• #ChatControl : un compromis « historique » exclut la surveillance des messageries en Europe


Comment simplifier l’exploration du jeu de correspondances de Jeffrey Epstein rendues publiques par la United States House Committee on Oversight sous la forme de PDF difficiles à trier ?

À cette question, les informaticiens Riley Walz et Luke Igel ont proposé une réponse simple : permettre aux internautes de naviguer dans ces informations en les présentant sous la forme d’une boîte mail, en beaucoup de points similaires au service de Google qu’1,8 milliard de personnes utilisent chaque mois.

C’est ainsi qu’est née Jmail, la fausse boîte mail de Jeffrey Epstein, riche de plus de 2 000 messages, dans laquelle tout internaute peut marquer un message comme important (avec une étoile).

La messagerie permet aussi d’identifier des contacts réguliers, parmi lesquels l’ex-conseiller de Donald Trump Steve Bannon, l’associée d’Epstein désormais derrière les barreaux Ghislaine Maxwell, l’ancien directeur du laboratoire de recherche dédié aux nouvelles technologies MIT Media Lab Joichi Ito, ou encore le linguiste Noam Chomsky.

Pour produire cet outil, Riley Walz et Luke Igel ont notamment recouru au LLM de Google Gemini, avec lequel ils ont récupéré le contenu des pdf par reconnaissance optique des caractères (OCR), détaille PC Gamer.

Derrière chaque résultat fourni par le robot, ils permettent aux internautes de cliquer pour voir le document source.

Les parlementaires européens ont voté mercredi en faveur d’un seuil minimal de 16 ans pour accéder aux réseaux sociaux à travers l’Union.

Ils ont aussi voté en faveur de tenir Mark Zuckerberg, Elon Musk et les autres patrons de la tech personnellement responsables si leurs entreprises persistent à ne pas respecter les règles européennes en matière de protection des mineurs en ligne, rapporte Politico.

Ces positions ont été tranchées dans le cadre de la production d’un rapport sur la protection des mineurs en ligne. Les parlementaires y appellent la Commission européenne à harmoniser les limites d’âge à travers l’Union européenne, alors que de nombreux pays travaillent à mettre en place leurs propres seuils, comme la France.

Les décisions du Parlement européen pourraient aussi influencer deux textes européens à venir : la directive sur les services de médias audiovisuels et le règlement sur l’équité numérique (Digital Fairness Act).

• TikTok et les réseaux sociaux se font dézinguer par des députés, qui veulent agir fort

Le consentement, c’est important !

La CNIL vient de prononcer une sanction 750 000 euros à l’encontre de la société française Les publications Condé Nast, éditrice de Vanity Fair, Vogue, GQ et AD. En cause, « le non-respect des règles applicables en matière de traceurs (cookies) ». C’est la conclusion d’une très (très) longue procédure, en plusieurs rounds.

L’histoire débute en 2019 par une plainte publique de l’association noyb pour des cookies déposés par le site vanityfair.fr, édité par Les publications Condé Nast. Une mise en demeure est prononcée en septembre 2021 et la procédure est finalement fermée en juillet 2022.

Le consentement c’est important, comme la clarté de l’information

Deux fois en 2023, puis à nouveau en février 2025, la CNIL a effectué des contrôles supplémentaires et constaté que Condé Nast « avait manqué aux obligations prévues par l’article 82 de la loi Informatique et Libertés », en conséquence de quoi elle annonce avoir « prononcé à son encontre une amende de 750 000 euros ».

La CNIL reproche trois principaux griefs : « absence de recueil du consentement des utilisateurs avant dépôt des cookies », « absence de clarté de l’information mise à disposition des utilisateurs » et enfin des « mécanismes de refus et de retrait du consentement défaillants ».

La délibération a été publiée, permettant d’en apprendre davantage sur cette affaire. Tout d’abord, les publications Condé Nast ne conteste pas les observations de la CNIL, à savoir la nécessité de recueillir le consentement dans ce genre de cas ainsi que le dépôt du cookie. Néanmoins, l’entreprise explique « que cette action est due à une erreur technique et avoir procédé à des corrections pour supprimer ce cookie de son site le 12 janvier 2024 ».

Sur le manquement à l’information des personnes, la CNIL pointe du doigt trois cookies « toujours actifs » dont le but est de « mettre en correspondance et combiner des sources de données hors ligne », de « relier différents terminaux » et de « recevoir et utiliser des caractéristiques d’identification d’appareil envoyées automatiquement ».

Ils sont présentés comme des « cookies strictement nécessaires au fonctionnement du site web » ; il n’est donc pas possible de les supprimer. De son côté, « le rapporteur considère au contraire que ces cookies ne sont pas strictement nécessaires au fonctionnement du site web et que l’information délivrée aux personnes est erronée ».

Condé Nast agite le Transparency and Consent Framework (TCF) de l’Internet Advertising Bureau (IAB) pour justifier son choix. « La société considère qu’en étant liée par le TCF de l’IAB, elle n’a pas le pouvoir de définir les finalités des cookies de fonctionnalités », sous-titre la CNIL.

Argument balayé d’un revers de la main par la Commission : « à supposer que l’adhésion au TCF ait constitué une contrainte professionnelle pour la société, il n’en demeure pas moins que l’information transmise à l’utilisateur restait insuffisante dans la mesure où elle ne renvoyait pas vers les règles de l’IAB ».

Autre grief, sur l’« effectivité du refus par l’utilisateur du dépôt et de la lecture de cookies », puisque retirer son consentement doit être aussi simple que le donner. L’entreprise confirme de nouveau les dépôts malgré le refus, mais explique que c’est encore un problème de paramétrage : : « l’un des cookies a été déposé en raison d’un paramétrage incorrect et a été désactivé en deux semaines. Elle indique pour un deuxième cookie qu’il avait également été désactivé rapidement et n’aborde pas le cas du troisième cookie identifié par le rapporteur ». La CNIL prend acte, mais note tout de même que la société ne tient pas compte du choix de l’utilisateur et « trompe son consentement ».

Des cookies encore lus après retrait du consentement

Enfin dernier point constaté en février 2025 : « des opérations de lecture d’informations dans le terminal de l’utilisateur après que celui-ci a accepté dans un premier temps des opérations de lecture et d’écriture puis retiré son consentement en continuant sa navigation sur le site ».

La CNIL détaille le parcours réalisé par la délégation en charge de l’analyse :

« Elle a d’abord accepté les cookies via le bandeau relatif aux cookies puis s’est rendue, via un lien hypertexte présent sur la page d’accueil, sur la page web comportant l’interface de choix relative aux cookies. Elle a alors constaté l’enregistrement de cinquante cookies sur son navigateur. Puis elle a procédé au retrait de son consentement en cliquant sur le bouton  » Tout refuser  » de l’interface de choix et constaté l’effacement de douze cookies et le maintien de trente-huit cookies sur son terminal ».

Là encore, la société ne conteste pas, mais précise avoir appliqué des changements depuis le contrôle. Notamment, que le cookie _ga_9C8GH73ZS1 « a été désactivé par la société et qu’aucune donnée ne peut être ni collectée ni partagée avec la société Google », indique la Commission.

La CNIL prend note pour Google, mais précise qu’il « ressort de l’instruction que les données continuent d’être associées aux requêtes envoyées vers le domaine de la société, et donc lues par la société, sans qu’elle justifie d’aucune finalité exemptée à ce titre ».

La CNIL retient la gravité du manquement

Dans son délibéré, la formation restreinte de la CNIL retient « la gravité du manquement compte tenu de la nature, de la portée ou de la finalité du traitement, ainsi que du nombre de personnes concernées affectées et du niveau de dommage qu’elles ont subi ». Le site vanityfair.fr revendique, entre juin et octobre 2023, 7,43 millions de visiteurs, dont plus de 6 millions en France.

Autre point important à prendre en compte : la durée des échanges qui ont débuté en 2019, avec encore des manquements début 2025. La formation considère aussi qu’il y a eu négligence aggravée puisque la CNIL a expliqué les règles à l’éditeur à de nombreuses reprises. Si des mesures correctives ont été prises, la formation restreinte ajoute « que cette mise en conformité n’est intervenue qu’après les opérations de contrôle et après échanges avec la délégation, et non de manière autonome et spontanée ».

Enfin, l’avantage financier obtenu suite à ces manquements doit être pris en compte : « la régie publicitaire et l’activité commerciale en vue de la vente d’espaces publicitaires apparaissent comme des activités centrales de la société, au même titre que son activité d’édition. Les cookies font partie de l’écosystème publicitaire sur le web et génèrent ainsi des revenus pour la société ».

Le montant de l’amende tient aussi compte des capacités financières de l’entreprise. Le chiffre d’affaires net de Les publications Condé Nast pour 2023 en France est de 26,4 millions d’euros pour un résultat net de 0,9 million d’euros, contre respectivement 47,6 millions et 3,6 millions d‘euros en 2022.

Au final, le montant de l’amende administrative est de 750 000 euros.

Condé Nast affirme que « la publicité de la sanction n’est pas justifiée », elle ne souhaite ainsi pas que son nom apparaisse. La CNIL n’est pas du même avis : « une telle mesure se justifie compte tenu de la visibilité du site en cause, de la gravité, de la durée des manquements constitués et du nombre de personnes concernées, lesquelles doivent être informées ».

Comme toujours, cette décision peut faire l’objet d’un recours devant le Conseil d’État.

Fin mars, Plex annonçait à la fois une hausse des prix et un changement d’approche pour la diffusion des contenus médias en dehors de son réseau domestique. En clair, il s’agissait de faire passer les utilisateurs à la caisse.

• Plex revoit ses prix à la hausse et lance une option payante pour la lecture à distance

Sans toucher à la diffusion domestique, il était proposé deux manières de payer, selon le contexte. Pour la personne ayant le serveur et les contenus, une formule Plex Pass (6,99 dollars par mois ou 69,99 dollars par an) déverrouillait la possibilité de streamer vers des personnes extérieures au réseau, par internet donc. Dans l’autre sens, une personne peut payer 1,99 dollar par mois (ou 19,99 dollars par an) pour un Remote Watch Pass, permettant l’accès à un serveur Plex distant, sans que son possesseur ait besoin d’un Plex Pass.

Il était prévu que ces règles entrent en vigueur à compter du 29 avril, mais l’application ne se fait réellement que cette semaine, en commençant par l’application Roku. L’équipe a confirmé le changement dans un message dans son forum le 20 novembre et repéré par How-To Geek le 25.

Si cette obligation est limitée pour l’instant, elle sera généralisée l’année prochaine à toutes les autres applications (Android TV, Apple TV, FireTV…) « ainsi qu’à tout client tiers utilisant l’API pour proposer le streaming à distance ».

Rappelons que ces changements concernent l’accès distant pour les serveurs Plex. Les personnes utilisant cette solution de streaming pour de la diffusion locale ne sont pas concernées.

Coup de balai

Dans un billet publié ce 24 novembre, l’équipe du réseau d’anonymisation Tor a annoncé un changement important pour la sécurité de son infrastructure. Elle va ainsi remplacer l’ancienne méthode de chiffrement « pour chiffrer les données utilisateur au fur et à mesure de son parcours » entre les relais, au profit d’une approche beaucoup plus sécurisée.

L’ancienne méthode, nommée « tor1 », comporte plusieurs problèmes. Créée en 2002, elle n’est plus adaptée aux attaques plus modernes, notamment par marquage. Celles-ci permettent à un acteur malveillant de tracer le trafic en le modifiant à un endroit du réseau et en observant des changements prévisibles à un autre endroit.

Des briques de 2002

Cet ancien système utilise AES-128-CTR comme algorithme de chiffrement. Considéré comme malléable, il peut permettre à cet acteur malveillant de modifier un contenu chiffré de manière prévisible, sans connaitre la clé. S’il parvient à contrôler plusieurs nœuds du réseau, il peut insérer un motif dans les données chiffrées d’un côté et le retrouver de l’autre, permettant de démasquer une personne immédiatement (trouver son identifiant unique), plutôt que de s’appuyer sur des méthodes probabilistes.

Dans le billet, l’équipe de Tor évoque deux autres problèmes. D’une part, tor1 n’offre pas de confidentialité persistante immédiate, les mêmes clés AES étant utilisées pendant toute la durée de vie du circuit (jusqu’à plusieurs jours). D’autre part, cette infrastructure utilise actuellement des authentificateurs de 4 octets (32 bits) utilisant SHA-1, « qui affiche son âge, c’est le moins que l’on puisse dire », note l’équipe.

• SHA-1 : des chercheurs prouvent l’exploitation des collisions dans une attaque

Cet authentificateur est une valeur cryptographique permettant de vérifier que les données n’ont pas été modifiées pendant leur transmission. Quand un client Tor envoie des données, il doit s’assurer en effet que personne ne les a altérées en chemin. L’authentificateur fonctionne comme une empreinte digitale des données : le client la calcule en utilisant les données elles-mêmes et une clé secrète partagée avec le relai destinataire. Quand ce dernier reçoit les données, il recalcule l’empreinte de son côté et la compare avec celle reçue. Si les deux correspondent, les données n’ont pas été modifiées.

La solution Counter Galois Onion

L’équipe est donc en train de déployer un changement majeur pour le chiffrement des informations de l’utilisateur entre les relais. Nommée Counter Galois Onion (CGO), cette solution se base sur une construction cryptographique baptisée Rugged Pseudorandom Permutation par ses quatre auteurs : Jean-Paul Degabriele, Alessandro Melloni, Jean-Pierre Münch et Martijn Stam.

Ces chercheurs ont soumis à ce sujet deux rapports. Dans l’un, on remarque que le besoin d’un renforcement de la sécurité sur le cheminement des données entre les relais avait été exprimé par Tor dès 2012. La seule solution envisagée alors était couteuse en opérations de chiffrement. CGO a été présenté comme une alternative « minimaliste et modulaire », avec plusieurs avantages. Dans l’autre, les chercheurs détaillent en quoi CGO est une méthode robuste.

La nouvelle méthode est censée garantir que toute altération d’une partie des données chiffrées rende le reste du message (ou cellule) irrécupérable, y compris les messages suivants. L’authentificateur passe à 16 octets (128 bits) et les clés cryptographiques sont transformées de manière irréversible après chaque cellule envoyée ou reçue, éliminant la possibilité de déchiffrer les cellules antérieures. Ce changement assure une confidentialité persistante immédiate et l’utilisation de grands blocs de données doit prémunir le réseau contre les attaques par marquage.

La nouvelle méthode cryptographique a déjà été intégrée dans Arti, l’implémentation de Tor en Rust. Elle est en cours dans la version classique (en C). En revanche, l’équipe n’a rien dit sur une date d’arrivée dans Tor Browser.

Substitute User Do

Les deux plaintes initiées par Warner Music Group ont finalement débouché sur des partenariats commerciaux. La maison de disque vient en effet d’annoncer coup sur coup deux accords de licence avec les services d’IA générative musicale Suno et Udio.

Les plateformes de musique générée par IA Suno et Udio rémunèreront bientôt Warner Music Group pour l’utilisation, directe ou indirecte, faite de son catalogue. La maison de disque a en effet annoncé, à une semaine d’intervalle, la signature d’accords de gré à gré avec ces deux services.

Mardi 25 novembre, Warner Music Group et Suno ont ainsi révélé avoir enterré la hache de guerre et conclu un partenariat « inédit qui ouvrira de nouvelles perspectives en matière de création, d’interaction et de découverte musicales, tout en rémunérant et en protégeant les artistes, les auteurs-compositeurs et l’ensemble de la communauté créative ».

Un accord à la portée inédite

Les modalités financières de l’accord sont tenues secrètes, mais les deux sociétés précisent qu’il met un terme à leurs différends judiciaires. Leur annonce révèle également une évolution à venir dans les modèles d’IA générative développés par Suno. En 2026, l’entreprise devrait ainsi remplacer son offre actuelle par de nouveaux modèles « plus avancés et sous licence ».

On ne sait pas, à ce stade, dans quelle mesure la prise en compte de cette licence octroyée par Warner aura un impact sur les fonctionnalités offertes aux utilisateurs de Suno.

Les deux entreprises promettent toutefois que l’accord se révélera protecteur pour les artistes signés chez la major. « Les artistes et les auteurs-compositeurs auront un contrôle total sur l’utilisation de leurs noms, images, ressemblances, voix et compositions dans les nouvelles musiques générées par l’IA ».

Cette nouvelle licence sous-tendra par ailleurs un modèle économique basé à terme sur une logique de freemium.

Vers un freemium pour l’IA musicale de Suno

« À l’avenir, le téléchargement de fichiers audio nécessitera un compte payant. Suno introduira des restrictions de téléchargement dans certains cas : notamment, les morceaux créés avec la version gratuite ne seront plus téléchargeables, mais pourront être écoutés et partagés. Les utilisateurs d’un abonnement payant disposeront d’un nombre de téléchargements mensuel limité, avec la possibilité d’en obtenir davantage en payant ».

L’accord prévoit également que Warner transfère à Suno la responsabilité de Songkick, sa plateforme dédiée à la promotion et au référencement de concerts. Rachetée en 2017, cette startup avait été privée un an plus tard de sa principale composante business, la billetterie, en raison d’un litige avec Live Nation, maison mère de Ticketmaster. Sous la houlette de Suno, Songkick a vocation à renforcer sa dimension de « lieu de rencontre prisé des fans, alliant la puissance de la musique interactive aux performances en direct », évoquent vaguement les deux entreprises.

Warner a également signé avec Udio, Stability et Klay

Une semaine plus tôt, c’est avec Udio, autre startup emblématique de l’IA générative appliquée à la musique, que signait Warner Music Group. Là aussi, l’accord permet de solder les poursuites judiciaires, et suppose la construction d’un modèle économique intégrant cette logique de droits concédés sous licence.

« Grâce à cette collaboration, Udio développera une plateforme de création, d’écoute et de découverte musicale de nouvelle génération, alimentée par des modèles d’IA génératifs entraînés sur des œuvres musicales sous licence », affirment cette fois les deux entreprises, en soulignant que ce nouveau service doit donc générer des revenus pour les artistes et auteurs-compositeurs signés chez Warner, « tout en garantissant la protection de leurs œuvres ».

Là aussi, l’accord suppose une remise à plat du fonctionnement du service Udio, et de son modèle économique. « Le service d’abonnement repensé d’Udio proposera une série d’expériences créatives permettant aux utilisateurs de réaliser des remixes, des reprises et de nouvelles chansons à partir des voix d’artistes et des compositions d’auteurs-compositeurs participants, tout en garantissant la rémunération de ces derniers », décrit à ce niveau la startup, tout en indiquant que ses outils actuels resteront en service jusqu’à la bascule vers ce nouveau fonctionnement, programmée pour 2026.

Warner a par ailleurs annoncé deux accords similaires avec deux autres éditeurs d’IA générative musicale : Stability AI, qui propose la famille des modèles Stable Audio, et Klay Vision, un service encore en cours d’élaboration, qui promet de révolutionner l’expérience d’écoute de la musique grâce, bien sûr, à l’IA générative.

Partenariats similaires chez Universal Music Group

Klay, qui s’est lancée en octobre 2024 avec la bénédiction d’Universal Music Group, profite d’ailleurs de l’occasion pour annoncer la mise en place de contrats avec les principales majors du disque. Outre Warner, elle indique avoir signé avec Sony et Warner Chappell Music, et affiche son intention d’élargir le périmètre à « tous les labels indépendants, artistes, éditeurs et auteurs-compositeurs ». Un vœu pieux ?

Jusqu’ici, les principaux accords entre IA et représentants du monde de la musique n’ont été signés qu’avec les grandes majors, dont le pouvoir de négociation a sans doute profité des poursuites lancées à l’été 2024 contre les acteurs de l’IA générative retranchés derrière la logique de fair use. Universal, première maison de disque du marché, a elle aussi signé avec Udio et Stability.

• Udio et Suno, des IA de génération de musiques attaquées par l’industrie musicale américaine

Dans un communiqué, le CNRS explique que, « sur Mars, les vents soulèvent en permanence des tourbillons de poussière fine. C’est au cœur de deux de ces dust devils que le microphone de l’instrument SuperCam, premier microphone opérant sur Mars, a enregistré par hasard des signaux particulièrement intenses ».

Ces signaux ont ensuite été analysés et identifiés comme des décharges électriques, « comparables aux petits chocs statiques que nous pouvons expérimenter sur Terre en touchant une poignée de porte par temps sec ». C’est la confirmation par observation d’un phénomène théorisé depuis longtemps.

Selon le CNRS, cela montre que l’atmosphère de la planète Mars peut « accélérer la formation de composés hautement oxydants », des substances capables « de détruire les molécules organiques présentes en surface ainsi que de nombreux composés atmosphériques ». L’effet serait important pour la planète, avec une perturbation en profondeur de l’équilibre photochimique.

Pour le CNRS, c’est « une découverte majeure aux conséquences directes sur notre compréhension de la chimie atmosphérique, le climat, l’habitabilité de la planète et sur les futures explorations robotiques et habitées ». Les travaux sont publiés dans Nature.

D’après le Centre national de la recherche scientifique, cela « pourrait expliquer la disparition étonnamment rapide du méthane, un sujet de débat scientifique depuis plusieurs années ». Ces décharges pourraient constituer un risque pour les équipements actuels, mais aussi pour les futures missions habitées.

L’entreprise de Sam Altman vient de publier un texte expliquant que les données d’utilisateurs de son API via l’OpenAI Platform ont fuité.

Selon OpenAI, cette fuite concerne :

• Le nom fourni pour le compte API ;
• l’adresse e-mail associée au compte API ;
• la localisation approximative basée sur le navigateur de l’utilisateur API (ville, état, pays) ;
• le système d’exploitation et le navigateur utilisés pour accéder au compte API ;
• les sites web référents ;
• les identifiants d’organisation ou d’utilisateur associés au compte API.

L’entreprise pointe du doigt un de ses sous-traitants : Mixpanel. Celui-ci se serait aperçu le 9 novembre qu’un pirate aurait eu accès à une partie de ses systèmes et exporté un ensemble de données. Mixpanel a informé OpenAI qu’elle enquêtait sur cette fuite et a ensuite partagé le jeu de données concerné avec le créateur de ChatGPT le 25 novembre.

OpenAI explique qu’elle continue à travailler sur le sujet avec MixPanel et d’autres partenaires mais que Mixpanel ne fait d’ores et déjà plus partie de ses sous-traitants.

Dans sa communication, OpenAI affirme qu’ « aucune conversation, requête API, donnée d’utilisation API, mot de passe, identifiant, clé API, détail de paiement ou pièce d’identité officielle n’a été compromis ou divulgué ».

Elle ajoute qu’elle ne recommande donc pas de réinitialisation de mot de passe ou de rotation des clés en réponse à cet incident. L’entreprise incite par contre ses utilisateurs à activer l’authentification multifacteur en tant que bonne pratique.

OpenAI assure qu’elle va informer tous les utilisateurs et organisations concernés individuellement et qu’elle reste en contact avec Mixpanel afin de déterminer les mesures à prendre.

Sortez couvert, jetez votre smartphone

Tout le monde se doute bien que nos smartphones peuvent être vulnérables aux cyberattaques, mais pas à quel point. Les vecteurs d’attaques sont nombreux, à la fois sur le terminal, son système d’exploitation, ses applications et fonctionnalités, mais aussi les réseaux mobiles. L’ANSSI dresse un panorama de la menace.

L’ANSSI commence par dresser un rapide portrait, rappelant que depuis trois ans elle doit intervenir de plus en plus souvent sur des téléphones compromis à des fins d’espionnage : « des attaquants s’appuient sur les réseaux mobiles, le Wi-Fi, le Bluetooth ou encore le NFC, qui présentent de nombreuses faiblesses, afin d’intercepter les informations échangées, voire d’en altérer les données pour déployer des logiciels espions. Il arrive aussi que des vulnérabilités jour-zéro soient présentes dans le système d’exploitation et que les applications soient utilisées pour infecter les téléphones sans aucune interaction des utilisateurs ».

L’Agence précise que les attaques sont toujours plus sophistiquées, furtives et arrivent à rester invisibles des solutions de détection, compliquant les investigations. Depuis 2024, la France et d’autres pays (dont les États-Unis, mais pas la Chine) sont engagés dans le Processus de Pall Mall pour « lutter contre la prolifération et l’usage irresponsable des capacités d’intrusion cyber disponibles sur le marché ». Un code de bonnes pratiques a été mis en ligne (pdf, 12 pages)… pas sûr que cette initiative réunisse l’ensemble des pays et qu’elle arrive donc à son but.

Face aux risques cyber, tout le monde est concerné

Metaloid

Google travaillerait sur un système d’exploitation unifié, basé sur Android, pour presque tous les appareils actuellement visés par l’entreprise : tablettes, équipements multimédia et PC. Google serait prête à lancer sa grande offensive l’année prochaine, avec possiblement des mises à jour pour une partie des appareils aujourd’hui sur ChromeOS. Sans surprise, l’IA serait au cœur du produit.

En septembre, lors du Summit de Qualcomm, Google était également dans la place. Rick Osterloh, vice-président de l’entreprise chargé des appareils et services, était monté sur scène pour discuter avec Cristiano Amon, CEO de Qualcomm. Ensemble, ils avaient annoncé un produit centré sur Android pour les PC.

Selon Android Authority, ce projet se nomme Aluminium OS. Un nom étrange, car s’il renvoie à un métal comme Chrome, l’orthographe contenant un deuxième « i » renvoie à une graphie britannique. Aux États-Unis, on utilise plutôt la graphie « aluminum ». Le « i » supplémentaire pourrait avoir été ajouté en référence à Chromium ou à l’IA.

Nos confrères avaient indiqué en novembre 2024 que Google avait un tel projet dans les cartons et rêvait d’une plateforme unifiée depuis longtemps. La vision serait aujourd’hui beaucoup plus avancée, avec un lancement prévu pour l’année prochaine, sans plus de précisions. L’objectif global serait de combiner ChromeOS et Android en une seule plateforme capable de fonctionner sur (presque) tous les supports. Un projet de fusion que Google a directement confirmé en juillet dernier à TechRadar.

Une IA centrale intégrée, mais comment ?

Comme le relève cependant Android Authority, il reste de nombreuses questions en suspens, dont le matériel réellement supporté, le type d’interface, le positionnement des produits associés, la possibilité de mettre à jour les Chromebooks existants, la manière dont l’IA va se manifester, son éventuelle dépendance à une connexion permanente, etc.

Nos confrères pointent une offre d’emploi pour un poste de « Senior Product Manager, Android, Ordinateurs portables et tablettes ». Cette offre, initialement publiée sur LinkedIn et aujourd’hui supprimée, mentionnait explicitement le travail sur « un nouveau système d’exploitation Aluminium, basé sur Android », avec un positionnement central de l’IA, et à destination des ordinateurs portables, détachables, tablettes et diverses box. A priori, tous les segments de gamme seraient visés, jusqu’au « Premium ». Aluminium OS semble présenté comme un nom de code et est d’ailleurs abrégé en ALOS, pour Aluminium Operating System.

Une présence aussi importante de l’IA suppose une intégration profonde de Gemini. Mais quel en serait le fonctionnement ? Sur Android actuellement, pour les appareils le supportant comme les Pixel 9 et 10, une partie des requêtes s’exécutent localement. Quand elles sont plus complexes, elles sont envoyées aux serveurs de Google. La société a d’ailleurs annoncé récemment son Private AI Compute pour un traitement « confidentiel » des requêtes, avec une approche calquée sur celle d’Apple.

L’annonce précise que le ou la future responsable aurait à sa charge les plateformes et appareils ChromeOS et Aluminium. Mais si ce dernier représente le futur de Google, alors les deux plateformes cohabiteraient un moment, avant que ChromeOS disparaisse. Selon nos confrères, Google réalise des tests d’ALOS sur des configurations utilisant le SoC Kompanio 520 de MediaTek ou un processeur Alder Lake d’Intel. Ils estiment que les configurations utilisant ces puces ou des modèles approchant pourraient se voir proposer le nouveau système en mise à jour optionnelle. En outre, les tests auraient lieu sur une version actuellement basée sur Android 16, mais la version finale serait basée sur Android 17.

Les fonctions pourraient faire la différence

Google sait que les puces Arm constituent une base solide pour une informatique mobile. Apple l’a amplement montré avec ses designs personnalisés au travers de sa série M sur les Mac (puces Apple Silicon), et Microsoft a obtenu une certaine crédibilité avec les configurations basées sur les Snapdragon X Elite. Qualcomm a d’ailleurs présenté les X Elite 2 lors de son dernier Summit, avec des gains importants promis sur les performances.

Et alors que les questions autour de la pertinence de Windows s’accumulent, face à la volonté de l’entreprise d’inclure l’IA dans chaque recoin et à un Linux qui n’a plus à rougir dans le domaine du jeu vidéo, Google pourrait se positionner. L’extension d’Android vers les PC (notamment) pourrait ainsi aboutir au même type d’univers qu’Apple, avec de nombreux produits capables de synchroniser toutes leurs informations, la reprise d’activité en passant de l’un à l’autre, un fonctionnement hors ligne, ou encore une IA capable de réponse sans connexion internet.

Dans un autre article, Android Authority dresse d’ailleurs une liste de fonctions rêvées, dont le support natif des jeux prévus pour Windows. Dans ce domaine, lancer des applications Windows de manière générale serait un gros avantage, mais la compatibilité avec les jeux enfoncerait le clou. Il faudrait idéalement que Google se rapproche de Valve pour intégrer Proton (bien qu’il s’agisse d’un projet libre n’ayant pas besoin d’un aval particulier), qui a largement transformé le jeu sur Linux et est au cœur des récentes annonces de Valve sur le matériel, dont la Steam Machine. Mais il faudrait encore que l’ensemble puisse fonctionner sur l’architecture Arm, Proton étant prévu pour du x64.

• Valve revient sur le marché des consoles de salon avec sa Steam Machine et un casque VR

Rappelons par ailleurs que Google vient de relancer Cameyo, sa solution de virtualisation permettant d’utiliser des clients lourds Windows au sein de Chrome ou de ChromeOS, à destination du marché entreprise.

Si Google envisage réellement une sortie l’année prochaine, il est probable qu’une communication officielle sur le sujet fasse bientôt son apparition, pour préparer le marché et faire grimper les attentes. Un lancement en 2026 signifierait également une opposition frontale avec un autre produit prévu par les rumeurs : le lancement par Apple d’un MacBook d’entrée de gamme basé sur une puce A, que l’on trouve d’ordinaire dans les iPhone, et dont le tarif serait de 600 dollars.

Si la vision Aluminium OS se concrétise, Google pourrait alors bénéficier de tout un écosystème cohérent de produits unis par les mêmes services, avec une approche commune. Un projet que Microsoft n’a jamais su mener à bien, particulièrement à l’époque de Windows Mobile et Windows Phone.