Petit acteur sur le marché français et européen des appareils de streaming, Roku est en revanche un poids lourd en Amérique du Nord. Et c’est ce qui explique la grosseur du chèque signé par le groupe Fox pour s’offrir le constructeur : 22 milliards de dollars.

Grosse transaction dans le paysage du streaming : Fox, un des principaux groupes audiovisuels américains (Fox News, Fox Sports…), a annoncé l’acquisition de Roku pour la modique somme de 22 milliards de dollars. Cela représente une prime d’environ 20 % par rapport à la valeur de l’action Roku vendredi dernier ; la clôture de l’opération est prévue pour le premier semestre 2027.

Fox ajoute donc à son arsenal tout un catalogue de boîtiers de streaming et de téléviseurs connectés, mais ce n’est pas tellement le matériel qui intéresse le groupe détenu par la famille Murdoch, bien que Roku soit un mastodonte dans ce secteur. La plateforme revendique plus de 100 millions de foyers actifs dans le monde… un monde qui reste largement circonscrit à l’Amérique du Nord. Roku est tout simplement la plateforme numéro 1 aux États-Unis, au Canada et au Mexique en nombre d’heures visionnées.

Fox cherche surtout à renforcer sa position sur le marché plus général du streaming qui lui échappe aujourd’hui. « Ensemble, Fox et Roku entendent créer un groupe média et technologique de nouvelle génération doté d’une grande envergure, à la croisée de deux tendances majeures qui redessinent la consommation vidéo : la place toujours centrale du sport et de l’information en direct, et la progression continue du streaming », peut-on lire dans le communiqué.

Avec Roku, Fox met également la main sur The Roku Channel, l’un des principaux services gratuits financés par la publicité aux États-Unis, qui viendra compléter sa propre plateforme Tubi.

Certaines sources évoquent chez CNN l’impérieuse nécessité pour Fox de sortir de son isolement relatif, surtout après les premiers feux verts réglementaires donnés au rapprochement entre Paramount et Warner Bros. Discovery. Fox risquait de devenir le seul grand groupe média américain sans véritable plateforme de distribution grand public.

Au-delà de ses box, Roku est aussi et surtout un coffre au trésor publicitaire. L’entreprise possède en effet une montagne de données utilisateurs, des outils de ciblage publicitaires et un important inventaire d’espace publicitaire sur les téléviseurs connectés. Le groupe pourra ainsi vendre des campagnes qui combineront ses deux principaux canaux de diffusion Fox News et Fox Sports, mais aussi Tubi, The Roku Channel et au-delà, l’écosystème de Roku.

Histoire de rassurer les partenaires qui ont contribué au succès de Roku, Fox promet que la plateforme restera ouverte – elle continuera d’accueillir Netflix, Disney+, YouTube, Prime Video et d’autres services qui sont désormais des concurrents directs.

Mon seignaur, il est l'AUR de se protéger

Une attaque non revendiquée a permis à des pirates d’infecter des centaines de paquets dans le dépôt AUR d’Arch Linux. La distribution n’est pas directement touchée, le dépôt étant consacré aux paquets gérés par la communauté. L’ampleur de l’attaque montre une nouvelle fois les limites d’un modèle de sécurité avant tout basé sur la confiance.

AUR, pour Arch User Repository, est un dépôt communautaire pour la distribution Arch Linux (et celles qui en dérivent). Comme indiqué sur le wiki d’Arch Linux, il « a été créé pour organiser et partager les nouveaux paquets de la communauté et pour aider à accélérer l’inclusion des paquets populaires dans le dépôt « extra » ». Il n’est donc pas géré par l’équipe de maintenance d’Arch Linux, n’est le plus souvent pas activé par défaut et contient un grand nombre de paquets (archives regroupant les fichiers nécessaires à un logiciel et les métadonnées associées) non présents dans la distribution.

Pratique, AUR est aussi un fourre-tout dans lequel la traçabilité est parfois très relative. C’est cet aspect qui a été exploité par les pirates.

L’attaque

Le 11 juin, les chercheurs de l’entreprise de sécurité Sonatype découvrent une campagne d’attaque coordonnée contre le dépôt AUR. Le ou les pirates ont pris le contrôle de paquets AUR dits « orphelins », c’est-à-dire abandonnés et en quête d’un repreneur. Ces paquets ont été modifiés : les fichiers de description des paquets (PKGBUILD) pointent vers un paquet npm malveillant à l’installation.

Dans son billet, Sonatype indique qu’une vingtaine de paquets modifiés ont ainsi été détectés. Un script post-installation a même été injecté pour appeler la commande « npm install atomic-lockfile ».

Entre les 11 et 12 juin, le nombre de paquets détectés comme malveillants s’envole, comme rapporté par le collectif de renseignement open source IFIN (Independent Federated Intelligence Network) et la communauté AUR. On passe ainsi de 20 à plus de 400 paquets, qui distribuent à la fois un rootkit assurant la persistance dans les machines infectées et un malware dédié au vol d’identifiants et de jetons d’accès (tokens d’authentification).

French Touch(y)

La fournée 2026 des lauréats de la French Tech Next40/120 est arrivée et elles sont encore plus de 9 start-ups sur 10 à passer par des emails de géants américains, selon un décompte de Next. Google est le maître incontesté des emails de la FrenchTech avec 68 % de parts de marché.

Depuis 2019, le programme French Tech Next40 et 120 «identifie et accompagne chaque année les scale-up françaises les plus performantes dans leur passage à l’échelle et leur développement international ». Les 40 entreprises à la première place (le classement Next40) incarnent pour leur part « l’avant-garde de la puissance technologique française ».

L’édition 2026 est marquée par l’arrivée de cinq nouvelles startups dans la liste Next40 : AMI Labs (de Yann LeCun avec son WorldModel), Aura Aero, Hublo, Legalplace et Quobly. Les autres start-ups indiquées en jaune dans la liste ci-dessous (Alma, Aqemia, Ekimetrics, Foodles…) étaient déjà dans la FrenchTech 120 l’année dernière, elles sont simplement montées dans le Next40.

Une vingtaine de nouvelles start-ups débarquent dans la FrenchTech120 : Animaj, Bigblue, Crème de la crème, FoodFlow, GitGuardian, Gradium, HomeExchange, Jimmy, Latitude, MyUnisoft, Naboo, Partoo, Scientil Photonics, Shopopop, Spore.Bio, Step Pharma, Stoik, Verley et Yespark.

En chiffres d’affaires, les 12 entreprises cumulent 11,3 milliards d’euros. Hors deeptech (elles représentent tout de même 27 % de l’ensemble des 120 start-ups), la croissance est de 31 % en moyenne sur un an et 45 % des entreprises sont rentables, affirme la French Tech.

Comme lors de l’annonce des lauréats de la French Tech 2030, nous avons regardé quelles étaient les dépendances des 120 start-ups aux géants américains pour la gestion de leurs emails. Nous avons donc interrogé les enregistrements MX des noms de domaine afin de voir vers quel service ils pointaient.

• French Tech : 9 start-ups sur 10 confient leurs emails à Google ou Microsoft

Think of the children !

« Redonner leur enfance aux enfants », c’est le nouveau credo de Keir Starmer, le Premier ministre britannique. Ce dernier a annoncé ce lundi 15 juin la mise en place d’une interdiction des réseaux sociaux aux moins de 16 ans, en y ajoutant des restrictions sur les jeux vidéo et les plateformes de streaming vidéo en direct.

D’ici l’année prochaine, l’horizon des internautes de moins de 16 ans pourrait bien se réduire fortement au Royaume-Uni. Le gouvernement britannique a annoncé un projet de loi imposant de nouvelles restrictions significatives aux jeunes du pays : pas de réseaux sociaux, interdiction de diffuser des vidéos en direct, interdiction pour des inconnus adultes de contacter directement des mineurs, limites pour d’autres services en ligne comme certaines plateformes de jeux vidéo. Sans pour autant empêcher les enfants de participer à des jeux multijoueurs en ligne type Minecraft ou Roblox.

Ban à gogo

Pour éviter un effet de seuil brutal à 16 ans, le projet prévoit de laisser actives certaines restrictions pour les 16 et 17 ans, notamment celles concernant les contacts avec des inconnus et certaines fonctions à risque comme les « compagnons romantiques » générés par IA (qui ne seraient plus accessibles qu’aux adultes). Londres doit publier des détails supplémentaires courant juillet sur plusieurs autres pistes, à l’instar d’un couvre-feu numérique nocturne, ainsi que des interruptions obligatoires du scrolling infini pour réduire le temps passé sur les plateformes.

Le tout repose sur l’Online Safety Act, ce texte qui impose la vérification de l’âge sur les sites porno. Les contrôles sont jugés insuffisants par le gouvernement, qui veut désormais imposer des systèmes de vérification plus robustes et qui finiront par s’imposer à tous les internautes outre-Manche. Les autorités se sont inspirées du modèle australien, qui a banni les réseaux sociaux aux moins de 16 ans, mais en y ajoutant des plateformes et des fonctionnalités en ligne supplémentaires.

« Sur plusieurs aspects, nous allons plus loin qu’une simple interdiction », convient Keir Starmer. « Nous nous attaquons aux fonctionnalités à risque présentes sur les sites de jeux vidéo ou les plateformes de diffusion en direct, où des inconnus peuvent actuellement contacter n’importe quel enfant sans véritable contrôle. » Le gouvernement veut également empêcher le partage de photos intimes par des ados.

• Londres veut empêcher les mineurs d’échanger des photos intimes

La défense des plateformes

Les principales intéressées ont expliqué qu’une interdiction généralisée allait pousser les enfants vers des services plus risqués n’offrant pas le même niveau de protection qu’elles ont mis en place. Autre angle d’attaque : les plateformes visées proposent aussi des fonctions qui aident les plus jeunes. « YouTube est une ressource essentielle pour les jeunes, les enseignants et les parents », a déclaré un porte-parole.

Snapchat indique de son côté que cette interdiction couperait les adolescents des échanges privés avec leurs amis et leur famille (les messageries comme WhatsApp ou Signal ne sont pas concernées). Meta, qui est une des principales entreprises visées avec Facebook et Instagram, a fait valoir que l’expérience australienne augmentait les risques d’isolation des ados de leur communauté.

« Une interdiction n’est pas seulement une loi : c’est aussi l’expression de nos valeurs, une norme sociale », ajoute le Premier ministre. « Bien sûr, certains enfants trouveront des moyens techniques de contourner l’interdiction. Mais cela ne signifie pas que nous ne devons pas agir ou que cette mesure sera sans effet. » Le texte devrait être en vigueur d’ici le printemps 2027.

Un projet d’interdiction des réseaux sociaux aux moins de 16 ans est également en discussion dans l’Union européenne, tandis qu’en France ils devront demander l’âge afin de bloquer les utilisateurs de 15 ans ou moins.

• Interdiction des réseaux sociaux aux moins de 15 ans : le compte à rebours est lancé

Vous avez quatre heures

Alors que les épreuves de baccalauréat des filières générales commencent ce lundi, Next explore les enjeux que soulève le déploiement de l’intelligence artificielle autour des examens.

« La technique peut-elle être mauvaise ? » Tel est l’un des sujets de dissertation proposés aux bacheliers de séries technologiques en ce mois de juin 2026. Ce 15 juin, ceux des filières générales pourront aussi plancher sur la question « Avons-nous la maîtrise de nos paroles ? », derrière laquelle on pourrait décider d’évoquer la deuxième vie de nos propos publiés en ligne, lorsqu’ils atterrissent dans les données d’entraînement des modèles génératifs.

Mais quid, justement, de l’IA générative ? Dans quelle mesure chamboule-t-elle le passage des épreuves dites « terminales » des lycéennes et lycéens en fin de secondaire ? Des révisions aux corrections en passant par la triche, la plupart des questionnements restent grand ouverts.

De l’IA utilisée par « flemme » ou pour s’aider à comprendre

Alors que 85 % des 18 - 24 ans ont déjà recouru à l’IA générative, d’après le baromètre du numérique de l’Arcep et l’Arcom, avant même d’arriver devant les tables d’examen, nul doute que ce type d’outil s’insère jusque dans les pratiques de révision. Auprès du Midi Libre, des lycéennes expliquent y recourir pour s’aider, mais aussi… par « flemme ». Ainsi d’Alix, qui déclare l’utiliser « dès que je n’ai plus envie de réfléchir. Ou que je ne comprends rien. »

Le loup dans la bergerie

Aqara, fabricant d’appareils connectés populaires dans l’univers HomeKit, a récemment corrigé la bagatelle de 26 défaillances de sécurité détectées principalement au niveau de la plateforme cloud qui sous-tend ses services. Dix des failles découvertes ont donné lieu à publication d’une CVE. L’exploitation combinée des quatre premières aboutit à une vulnérabilité notée 10, le niveau maximal de sévérité.

Une recherche indépendante, publiée le 11 juin dernier, vient de mettre en lumière un vaste ensemble de vulnérabilités affectant les produits de la marque Aqara. Ce fabricant chinois commercialise pour mémoire une large gamme de capteurs de température, caméras IP, ampoules pilotées, thermostats et autres serrures ou verrous connectés. La bonne intégration de ses produits dans Apple Maison (HomeKit) les rend particulièrement populaires chez les amateurs de domotique.

La plateforme cloud qui sous-tend leur fonctionnement présentait toutefois quelques sérieuses failles en matière de sécurité. L’exploitation combinée de plusieurs d’entre elles créait ainsi une voie pour usurper n’importe quel compte enregistré sur la plateforme Aqara, et donc potentiellement de forger un accès à l’ensemble de l’écosystème domotique d’un utilisateur.

Dix CVE et de nombreux problèmes de configuration

L’une de ces failles a reçu la note maximale de 10.0 dans la base de Common Vulnerabilities and Exposures (CVE) officielle – une sévérité qui reflète son rôle dans la chaîne plutôt que son impact pris isolément, le chercheur lui ayant lui-même attribué 7.5. « La passerelle Aqara IAM/SSO (gw-builder.aqara.com) expose des échanges AES bidirectionnels contre la clé de signature de la plateforme sans authentification », indique la notice associée.

Derrière ce scénario du pire (dont aucune mise en œuvre malveillante n’a été attestée) se cache en réalité un catalogue de failles et de lacunes de sécurité bien plus vastes, comme le présente sur GitHub l’auteur de ces découvertes, le Français Sammy Azdoufal. Ses travaux, confirmés par Tod Beardsley de runZero, ont donné lieu à la publication de dix CVE individuelles, dont quatre sont qualifiées de critiques (note supérieure à 9).

« L’audit a révélé dix vulnérabilités côté produit suffisamment graves pour justifier l’attribution de CVE, ainsi que onze problèmes côté opérateur affectant l’infrastructure d’Aqara (son CRM, ses plateformes CI/opérations internes, sa passerelle IAM, son forum et son GitHub). Les quatre premières CVE sont liées entre elles. Aucune d’entre elles n’atteint individuellement le niveau 10.0. C’est leur enchaînement qui aboutit à ce niveau », décrit Sammy Azdoufal.

Il a découvert ces failles en étudiant l’application mobile dédiée à ses utilisateurs, ce qui lui avait déjà permis de découvrir plus d’un million de babyphones espion basés sur le cloud Meari, et près d’un million de pièces d’identité exposées sur Internet par le fournisseur d’un outil de CRM dédié aux coffee shops et autres cannabis clubs sociaux.

Sammy Azdoufal indique avoir listé et informé Aqara d’un total de 27 défaillances. Le fabricant aurait reconnu et corrigé 26 d’entre elles, laissant de côté l’allusion à un forum Discourse dont les messages et les comptes utilisateurs étaient accessibles sans authentification préalable. « L’un des éléments signalés comme corrigés est un problème structurel (CVE-2026-50091, clés cryptographiques codées en dur intégrées au SDK mobile et au firmware déployé) pour lequel un correctif côté serveur n’est pas architecturalement suffisant », estime de son côté l’auteur de la découverte.

La marque minimise l’impact

Il relate par ailleurs la chronologie de ses échanges avec Aqara, de la première prise de contact, en mars, à la déclaration publique transmise le 11 juin, date de la publication de ses découvertes. Dans cette dernière, telle que reproduite par Sammy Azdoufal, l’entreprise affirme que « la possibilité potentielle de contrôler les appareils des utilisateurs se rapporte à un environnement de test totalement distinct des systèmes de production d’Aqara », et que l’accès « à de véritables appareils ou comptes utilisateurs via l’environnement de test est impossible dans notre architecture, car les environnements ne partagent aucune donnée utilisateur, identifiant ni service backend ».

Des affirmations que réfute le chercheur indépendant. « Le point d’accès de récupération des jetons (famille CVE-2026-50083) a renvoyé 2 969 sessions actives, dont les sessions JWT actives de deux employés d’Aqara. Les environnements de test ne contiennent pas les sessions de travail actives des employés réels », fait-il par exemple valoir.

Nous avons contacté Aqara pour essayer de tirer au clair ces contradictions. En attendant, les utilisateurs de l’application du même nom ont sans doute tout intérêt à révoquer les autorisations tierces qu’ils n’auraient pas eux-mêmes accordées dans les paramètres de leur compte. Ainsi qu’à privilégier les options de contrôle local, notamment via HomeKit, plutôt que de piloter leurs appareils par l’intermédiaire d’un cloud opéré par le fabricant. Un conseil qui vaut sans doute d’ailleurs bien au-delà du cas particulier d’Aqara…

• Domotique « intelligente » : ne nous laissons pas enfermer par nos objets connectés

Islamiste ET israélien

Les dernières élections municipales ont fait l’objet de quatre ingérences numériques étrangères. Si leurs portées sont restées « très limitées », elles révèlent de nouveaux modus operandi. VIGINUM offre par ailleurs un satisfecit à Google, Meta et Microsoft, qui ont désactivé près de 200 pages, comptes et sites web inauthentiques. X a par contre boudé l’Arcom.

« Depuis l’élection présidentielle de 2017 en France, aucun rendez-vous électoral ou référendaire majeur n’a été épargné par des tentatives de manipulations de l’information impliquant des acteurs étrangers », relève le service de vigilance et de protection contre les ingérences numériques étrangères (VIGINUM) du Secrétariat général de la Défense et de la Sécurité nationale (SGDSN) dans son rapport public sur les élections municipales :

« Dernier grand processus électoral au suffrage universel direct planifié avant l’élection présidentielle de 2027, les élections municipales étaient ainsi susceptibles de constituer une cible de premier plan pour les compétiteurs stratégiques de la France. »

Ce pourquoi, et en se fondant sur l’expérience de pays partenaires, un dispositif national renforcé de protection des élections face aux ingérences numériques étrangères (INE) a été mis en place pour les élections municipales des 15 et 22 mars 2026, avec la création du réseau de coordination et de protection des élections (RCPE), constitué de l’Arcom, de la Commission nationale des comptes de campagne et des financements politiques (CNCCFP), du secrétariat général du Gouvernement (SGG), du ministère de l’Intérieur et de VIGINUM.

Dans son rapport, le service dit constater « l’essor d’une économie de l’ingérence » avec, d’une part, l’émergence d’acteurs commercialisant des « services d’intermédiation » pour mener des ingérences numériques étrangères, et d’autre part, la multiplication d’INE à but lucratif « diffusant des contenus présentés de façon sensationnaliste, afin de susciter de l’engagement et in fine générer des revenus ».

Elle relève par ailleurs une « clandestinisation croissante » des opérations d’INE, avec des acteurs cherchant à dissimuler leurs actions par l’utilisation de tactiques, techniques et procédures (TTP) diversifiées pour créer des écosystèmes plus complexes et mieux anonymisés.

Une centaine de noms de domaine en « .fr » imitant des sites d’infos locaux

VIGINUM n’en a pas moins détecté et caractérisé quatre ingérences numériques étrangères ciblant spécifiquement les élections municipales 2026, dont deux émanant de modes opératoires informationnels (MOI) pro-russes ayant déjà mené des activités malveillantes contre la France dans le passé, et deux nouveaux MOI.

VIGINUM définit les MOI comme « un ensemble de comportements, d’outils, de tactiques, techniques et procédures (TTP) et de ressources adverses présumés liés au même acteur malveillant ou groupe d’acteurs malveillants ».

Attribué à l’unité 29155 du service de renseignement militaire russe (GRU) avec l’appui du Centre d’expertise géopolitique, officine d’influence moscovite, Storm-1516 est qualifié de MOI « particulièrement persistant et évolutif ».

VIGINUM lui impute en effet 205 opérations informationnelles depuis août 2023, développées au moyen du MOI CopyCop, attribué en source ouverte à l’ancien policier américain exilé en Russie, John Mark DOUGAN.

• Le Quai d’Orsay attribue 77 opérations au groupe de désinformation russe Storm-1516
• CopyCop, la ferme à trolls pro-russe GenAI créée par un ex-shérif adjoint américain

La première opération informationnelle en lien avec les municipales, lancée dès février 2025, a consisté en l’enregistrement de plus d’une centaine de noms de domaine en « .fr » imitant des sites de presse locaux et alimentés par des articles de presse reformulés par des outils d’intelligence artificielle générative.

Nous les avions d’ailleurs rajoutés dans notre base de données de sites d’infos GenAI, qui en recense désormais près de 14 800.

• [Récap] Nous avons découvert des milliers de sites d’info générés par IA : tous nos articles

Cette campagne n’a toutefois « pas eu d’effet significatif », relève VIGINUM, la plupart des noms de domaine ayant été suspendus par l’Association Française pour le Nommage Internet en Coopération (Afnic) à l’issue d’une procédure de vérification d’identité des titulaires.

De faux reportages usurpant l’identité de plusieurs médias

Trump, meilleur allié de la souveraineté

Au-delà du remous interne, la dernière action du gouvernement de Donald Trump – bloquer Fable 5 et Mythos 5 d’Anthropic – a de larges répercussions internationales. En Europe et en France, les réactions vont toutes dans le même sens : les enjeux de souveraineté, face au « kill switch » que les États-Unis peuvent déclencher comme bon leur semble.

Vous n’avez certainement pas échappé à cette information : Anthropic a coupé l’accès de Fable 5 et Mythos 5 (ses deux derniers modèles les plus performants) à l’ensemble de ses clients. Fable 5 est, pour rappel, la version grand public de Mythos 5. En cause, une directive du gouvernement américain au nom de la sécurité nationale. Les autres modèles Opus, Haiku et Sonnet (toutes versions) restent disponibles.

C’est à la fois un énorme coup de publicité pour Anthropic (ses modèles seraient tellement puissants qu’il faudrait les museler) et une alerte sur les enjeux de souveraineté. D’une directive et sans crier gare, le gouvernement de Donald Trump prive le reste du monde d’outils qu’il utilisait depuis quelques jours. En France, les réactions étaient nombreuses, de tous les bords politiques, et allaient dans le même sens.

L’affaire

Quoi de mieux pour chanter les louanges de l’IA qu’un rapport truffé d’hallucinations rédigé par une IA ? KPMG a dû retirer une étude sur l’IA agentique après la découverte de plusieurs cas d’usage apparemment inventés. Oups.

Tout ce que raconte l’IA n’est pas d’or. KPMG, une des plus grandes agences de conseil au monde, a publié en octobre dernier un rapport pour « redéfinir l’excellence à l’heure de l’IA agentique ». Destiné aux dirigeants et aux décideurs, le document multiplie les études de cas censées illustrer l’adoption de cette technologie dans les secteurs de la finance, des transports ou encore de la santé.

Seul problème : de nombreux exemples du rapport sont faux, ou à tout le moins factuellement incorrects. Le rapport affirmait ainsi que la banque UBS utilisait des agents IA pour le conseil en investissement, la gestion des risques et la conformité réglementaire au sein d’une plateforme développée avec Microsoft. Des affirmations qui reposent sur des faits incorrects, affirme l’établissement financier au Financial Times et aux chercheurs d’hallucinations du détecteur de contenus générés par IA GPTZero.

Quand l’IA vante l’IA

Autre exemple, celui des chemins de fer fédéraux suisses, chez qui des agents IA étaient censés aider les voyageurs à planifier, réserver et optimiser leurs trajets en fonction de leurs préférences, des conditions en temps réel et de l’impact carbone. Sauf que la description donnée dans le rapport n’était « pas exacte ». Il prétendait aussi que Transport for London (TfL) employait des agents IA pour prévoir et gérer la congestion, personnaliser les informations aux voyageurs et coordonner les modes de transport. Une présentation « trompeuse », selon la TfL.

Enfin, KPMG affirmait que des agents IA prédisaient les réadmissions à l’hôpital, réalisaient un tri des patients et automatisaient les orientations médicales au sein du système de santé dans le grand Manchester. De fausses informations provenant manifestement de la mauvaise interprétation d’un communiqué sur un outil de détection du… cancer du poumon.

Sur les 45 références citées dans le rapport, seules 5 renvoient correctement à des sources réelles, a calculé GPTZero. 28 autres citations fournissent des titres paraphrasés et/ou des éléments erronés pour une source réelle. Les 12 dernières sont trop vagues ou comportent trop d’erreurs pour permettre de déterminer avec certitude si une source existe.

De plus, environ la moitié des affirmations étayées par ces 45 citations semblent être fausses ou attribuées à tort – probablement parce qu’un outil de recherche sur l’IA a trop pris au pied de la lettre une demande visant à trouver des exemples d’« IA agentique » exploitées en production.

Après avoir été alerté par le FT et GPTZero, KPMG a retiré le rapport de ses sites web, tout en affirmant prendre très au sérieux « l’exactitude et l’intégrité » de ses publications. Le cabinet a rappelé que ses employés doivent respecter des règles internes sur l’usage responsable de l’IA.

« Nous attendons de l’ensemble de nos collaborateurs qu’ils respectent nos directives relatives à l’utilisation responsable de l’IA, notamment en assurant une supervision humaine pour valider les contenus et vérifier les sources indépendantes », indique un porte-parole. Une enquête interne a été lancée, mais c’est un peu tard : les conclusions de ce rapport avaient déjà été reprises par plusieurs publications spécialisées du secteur, ainsi que par un important quotidien tchèque.

Ce n’est pas une première, les exemples d’hallucinations d’IA prises pour argent comptant se sont multipliés dans tous les domaines, et on n’est pas près d’en voir le bout.

• L’IA de Doctrine.fr a « halluciné » une décision de la CEDH qui disait tout le contraire

• Trois plaidoiries « hallucinées » par IA ont été identifiées en France en décembre

• Des délires « by design » ? Comment les IA génératives peuvent alimenter des psychoses