À balles réelles

Un lourd rapport a été publié ce 15 juillet, suite aux travaux de la commission lancée en février pour analyser les dépendances structurelles et les vulnérabilités systémiques dans le secteur du numérique et les risques pour l’indépendance de la France. Cette commission, présidée par Philippe Latombe avec Cyrielle Chatelain comme rapporteure, pointe six grandes catégories de failles et liste de nombreuses recommandations, dont certaines radicales.

Cet épais rapport sur la souveraineté numérique de 453 pages est le fruit d’un travail ayant réuni 26 députés issus de l’ensemble des groupes politiques. Le rapport a été adopté le 8 juillet, à l’issue de 45 auditions, 112 personnes ayant été entendues. Une semaine plus tard, le rapport est en ligne et une conférence de presse a été organisée pour en brosser les grandes lignes.

Constats amers

Dès l’avant-propos, Philippe Latombe donne le ton. Lui qui est également président de la commission chargée d’examiner le projet de loi relatif à la résilience des infrastructures critiques et au renforcement de la cybersécurité situe le rapport dans la continuité d’une mission d’information qu’il avait déjà consacrée à la souveraineté numérique en 2021. Le propos se fait volontiers acide : « Mon principal regret reste sans doute qu’il ait fallu attendre l’ère MAGA pour qu’un plus grand nombre de politiques et de groupes parlementaires s’intéresse aux dépendances structurelles et aux vulnérabilités systémiques de la France dans le secteur du numérique, ainsi qu’aux risques pour l’indépendance et la souveraineté de notre pays ».

Le député dit avoir été « peu suivi » et « trop souvent cantonné au rôle de Cassandre ». À ceci près que le personnage mythologique « n’avait à alerter que sur un cheval de Troie, alors que nous devons faire face à une multitude de vulnérabilités : fournisseurs américains de cloud, systèmes d’exploitation étrangers, nombreux composants électroniques asiatiques, infrastructures internet mondiales… ».

L’introduction situe ensuite le périmètre retenu. D’une part, les administrations publiques et les entreprises d’intérêt vital, jugées prioritaires en raison de leur criticité. D’autre part une approche plus large des « dépendances systémiques », couvrant six familles de vulnérabilités. La commission indique explicitement ne pas avoir traité en détail la cybersécurité proprement dite ni les dépendances matérielles, qui font l’objet de travaux distincts.

Les six catégories de vulnérabilités sont les suivantes :

• les failles démocratiques à travers les ingérences et la désinformation. Les algorithmes de recommandation des plateformes privées sont pointés du doigt, dont celui de X au travers des travaux menés par Germain Gauthier, directeur de recherche au CNRS : jusqu’à 15 % des électeurs indépendants peuvent changer d’opinion après une exposition aux réseaux sociaux ;
• l’exploitation des failles techniques dans les administrations et les entreprises, et le torrent d’attaques cyber qui en découle, avec pour preuve les multiples fuites référencées ces dernières années ;
• la quantité croissante de données à stocker et à protéger, avec les trois thématiques liées : légalité des traitements opérés (RGPD), extraterritorialité du droit (tout particulièrement américain) et captation des données ;
• la primauté du profit sur les libertés individuelles, qui entraîne violation de la vie privée, exposition à des contenus nocifs et développement d’algorithmes addictifs ;
• le verrouillage et la dépendance des utilisateurs, pratique jugée comme étant « au cœur des stratégies des fournisseurs de logiciels » ;
• les vulnérabilités liées aux infrastructures et aux composants clés.

Où en sont les administrations françaises ?

C’est le chapitre le plus documenté du rapport. La méthodologie a reposé sur des questionnaires envoyés à l’ensemble des directions numériques ministérielles (annexe 2), complétés par des auditions des directeurs des systèmes d’information.

Il en est notamment ressorti que sur les 466 applications métiers recensées dans l’administration (liste non exhaustive), les deux tiers ont été développées spécifiquement pour les besoins associés, dont 57 % par des prestataires externes. L’analyse croisée par pays d’origine montre que les fournisseurs français dominent largement les applications les plus critiques : 69 % pour la catégorie 1 (atteinte à l’ordre public, sécurité, vie des personnes) et 83 % pour la catégorie 2 (interruption d’une mission de service public essentielle), soit respectivement 81 et 228 applications. Les États-Unis arrivant en deuxième position avec 7 et 12 applications respectivement.

Extension du domaine de la lutte

Le domaine t.me, utilisé par la messagerie Telegram, a été placé pendant plusieurs heures en pause par le registre chargé de l’extension nationale du Monténégro. L’incident, qui a handicapé les échanges et les partages de fichiers pendant plusieurs heures, découle d’une sanction prise par les États-Unis à l’encontre de First VPN, pourtant démantelé quelques semaines plus tôt.

Un domaine vous manque et tout est dépeuplé. Entre lundi 13 et mardi 14 juillet, les utilisateurs de la messagerie Telegram ont constaté des dysfonctionnements au niveau des liens courts, utilisés soit pour renvoyer vers des canaux internes à la messagerie, soit pour pointer vers des ressources externes (des images par exemple).

t.me passé en serverHold

Les soupçons se sont rapidement portés vers le nom de domaine t.me, utilisé par Telegram comme raccourcisseur d’URL. À juste titre : comme l’a par exemple documenté Stéphane Bortzmeyer, le domaine t.me a tout simplement cessé de répondre aux requêtes.

L’examen du whois associé a révélé que le domaine en question avait été placé en statut serverHold, qui correspond à une interdiction temporaire prononcée par le registre en charge de l’extension concernée. « Il s’agit d’un statut inhabituel qui est généralement mis en œuvre lors de litiges juridiques ou lorsque votre domaine est susceptible d’être supprimé », précise à ce sujet la documentation de l’Icann.

Fallait-il voir dans cette suspension une censure, comme l’ont suggéré certains internautes sur X ? Le patron de Telegram, Pavel Durov, qui dénonçait quatre jours plus tôt la remise au goût du jour de la dérogation Chat Control par le Parlement européen, n’aurait sans doute pas manqué de réagir si tel avait été le cas.

À la place, il a interpellé, mardi 14 juillet, le compte X associé au domaine .me, qui dépend pour rappel du Monténégro : « Les liens t.me ont cessé de fonctionner, pouvez-vous regarder ? ».

Le registre en question s’est exprimé le même jour vers 19 heures, soit quelques heures après la reprise d’activités du domaine t.me. Il a indiqué avoir répondu à une injonction du département du Trésor des États-Unis : « Le registre .ME travaille en étroite collaboration avec les forces de l’ordre pour surveiller et traiter les problèmes liés au domaine .ME conformément aux lois applicables, y compris les exigences en matière de sanctions ».

Une sanction émanant des États-Unis

L’injonction en question émane plus précisément de l’OFAC (Office of Foreign Assets Control), l’agence rattachée au Trésor chargée d’administrer et d’appliquer les sanctions économiques ou commerciales. Lundi 13 juillet, l’OFAC a désigné de nouvelles cibles de sanctions, parmi lesquelles figurent plusieurs actifs associés à First VPN, un service qui était « presque exclusivement » promu sur les forums de cybercriminels russophones, récemment démantelé par les autorités.

• Saisie d’un VPN utilisé dans la quasi-totalité des grandes enquêtes cyber d’Europol

L’OFAC place à cette occasion plusieurs adresses e-mail, des portefeuilles de cryptomonnaie et plusieurs noms de domaine sur liste noire. Dans le lot figure une URL, t.me/FirstVPNService, qui semble avoir été interprétée de façon expéditive par les services monténégrins.

« Une chaîne Telegram utilisant le domaine http://t.me figurait parmi l’infrastructure identifiée de 1VPNS. En conséquence, le domaine http://t.me a été suspendu. Le 14 juillet, Telegram a confirmé avoir supprimé tous ses liens et affiliations avec 1VPNS. Après vérification de cette confirmation, la suspension du domaine http://t.me a été levée », justifie le registre.

Telegram a de son côté temporairement basculé ses liens vers le domaine telegram.me. Durov, d’humeur badine, a profité de l’occasion pour s’offrir le domaine t.you.

WhatsApp travaille sur un système de sauvegarde en ligne des conversations sur ses propres serveurs, avec chiffrement de bout en bout. Et ce, aussi bien sur Android que sur iOS. Un moyen de libérer de l’espace dans Google Drive et iCloud, et d’imaginer des restaurations entre les deux plateformes.

Jusqu’à présent, la sauvegarde des conversations de WhatsApp se déroule soit dans Google Drive (sur Android), ou iCloud (sur iOS). Une solution simple, mais qui se heurte souvent aux limites de l’enveloppe de stockage des deux services : 15 Go pour le premier, 5 Go pour le second. Et cet espace est partagé avec d’autres données et documents.

Les utilisateurs de WhatsApp friands de partage de photos, de vidéos et de lourds fichiers frappent assez vite ce plafond de verre. Pour aller au-delà, il faut mettre la main à la poche : à partir d’1,99 euro par mois chez Google pour 100 Go, contre 0,99 euro pour 50 Go sur iCloud. WhatsApp travaille sur une solution maison : la sauvegarde des discussions sur ses propres serveurs, comme l’a repéré WABetaInfo en fouillant dans le code des bêtas de WhatsApp.

Le principe sur les deux plateformes est le même. L’application propose de sélectionner un fournisseur pour la sauvegarde : Google Drive ou iCloud en fonction de l’appareil, ainsi que son propre service de stockage. Tout cela peut encore évoluer, voire être abandonné : la fonction en est encore aux premières étapes de son développement et n’est pas proposée aux bêta-testeurs. Les premières traces de cette fonction remontent au mois d’avril sur Android, et tout récemment sur iOS.

Actuellement, WhatsApp envisagerait 2 Go de stockage de base, sans frais supplémentaires. Avec 3 milliards d’utilisateurs, la messagerie peut difficilement faire plus, mais là aussi les utilisateurs les plus gourmands risquent d’être rapidement pris au dépourvu. C’est pourquoi WhatsApp proposerait de gonfler l’enveloppe contre une petite contribution sonnante et trébuchante : 0,99 dollar pour 50 Go, comme chez Apple. Et on pourrait grimper jusqu’à 1 To. Bien sûr, les prix et l’offre peuvent encore évoluer.

On ne sait pas encore ce que WhatsApp fera des anciennes sauvegardes. Sur iOS, celles conservées dans iCloud pourront toujours être supprimées manuellement depuis les réglages. Si l’utilisateur décide de faire confiance aux serveurs de Meta (c’est un grand « si »), les sauvegardes seront chiffrées de bout en bout ; de fait, personne ne pourra y avoir accès, si ce n’est l’utilisateur. Autre utilité de cette fonction : les sauvegardes stockées chez WhatsApp ne seront pas verrouillées à une plateforme. De fait, cela pourrait grandement faciliter la restauration des conversations.

• WhatsApp fait le plein de nouveautés : stockage, comptes multiples, transferts, Meta AI…

La route est longue

Dans son rapport sur la place des femmes dans le jeu vidéo, la délégation sénatoriale aux droits des femmes relève que si les femmes sont aussi largement joueuses que les hommes, leur accession à l’industrie du jeu vidéo ou au monde de l’e-sport reste, lui, bien plus complexe.

Plus de 200 milliards de dollars, tel est le volume que représente l’industrie du jeu vidéo dans le monde. À l’échelle du globe comme à celle de l’Hexagone, elle se place à la première place des industries culturelles. En France, relève la délégation sénatoriale aux droits des femmes, le jeu vidéo représente 1 000 sociétés actives, plus de 10 000 emplois directs (dont 57 % travaillent en région parisienne) et six milliards d’euros de chiffre d’affaires.

Si le loisir a bénéficié d’une féminisation massive de ses publics – aujourd’hui, 51 % des joueurs français sont des joueuses, proportion qui grimpe à 55 % au sein de la génération Z -, celle de l’industrie est encore loin d’être effectuée. Seulement 20 % des effectifs totaux du jeu vidéo sont des femmes, « une proportion qui tombe à 7,7 % dans les métiers techniques et à 14 % dans les postes de direction », indique la délégation sénatoriale des droits des femmes.

Poursuivant des travaux engagés sur la place des filles et des femmes dans les sciences et les techniques, cette dernière a publié un rapport intitulé « Jeux vidéo : de la Game Boy aux filles dans le game, l’égalité en cours de chargement ». Fruit de 8 mois de travail et de l’audition de plus de 90 spécialistes du domaine, le document constate aussi, dès ses premières pages, que les femmes font partie des premières victimes de la crise économique post-pandémie qui s’est abattue sur l’industrie.

• Assises de la féminisation du numérique : « l’urgence » de diversifier l’industrie de la tech

Dans le jeu comme dans l’industrie, des pratiques genrées

Les femmes présentes dans l’industrie des jeux vidéo n’y sont pas de manière uniforme. Elle sont très peu représentées dans le game design, c’est-à-dire dans la création des « règles et principes du jeu ». De même qu’ailleurs dans l’industrie technologique, elles sont particulièrement peu nombreuses dans les postes de programmation.

La première cause de ce déséquilibre se trouve du côté de la formation initiale. Comme pour le reste des filières technologiques, les femmes y sont déjà moins nombreuses (un quart des effectifs des formations spécialisées dans le jeu vidéo), mais la déperdition augmente avec le temps. Elles ne sont ainsi plus que 20 % dans les studios, soit 6 points de moins qu’en formation. Par ailleurs, elles sortent de leur carrière plus tôt que les hommes, généralement autour de 35 ans.

« Ce phénomène du "tuyau percé" est le résultat d’un environnement de travail encore peu favorable aux femmes, à de moindres opportunités d’avancement ou d’accès à des postes stratégiques au sein de l’entreprise, enfin à la perpétuation, dans certains environnements de travail, d’un climat professionnel toxique voire de situation de violences et harcèlement sexistes et sexuels au travail. » Le constat rejoint en tous points celui formulé en 2025 par la spécialiste des enjeux d’inclusion dans le numérique Caroline Ramade auprès de Next. 


• Inclusion dans la tech : pour Caroline Ramade, « il y a d’énormes biais de promotion »

Malgré ces éléments, en tant que public, les femmes sont clairement joueuses. 69 % d’entre elles déclaraient jouer aux jeux vidéo en 2024, d’après le Syndicat des éditeurs de logiciels de loisirs (Sell). Leurs pratiques diffèrent néanmoins en partie de celle des hommes. Elles ne représentent que 20 % des joueurs dits « hardcore » et 58 % des joueurs dit « lowers », c’est-à-dire jouant « avant tout sur mobile » et qui « ne se considèrent pas vraiment comme joueurs ». Elles représentent aussi 71 % des joueurs qui n’utilisent que leur mobile.

Des imaginaires « marqués par des biais sexistes » au jeu vidéo « outil d’égalité » ?

Historiquement, le jeu vidéo s’est largement construit sur un imaginaire sexiste, qui se retrouve aussi bien dans les publicités des années 1980 (dans lesquelles les protagonistes tenant les manettes sont généralement des jeunes garçons blancs) que dans les scénarii de jeu. Ainsi de la figure de « demoiselle en détresse », très bien représentée par la princesse Peach dans de nombreux jeux de la franchise Mario, ou des représentations sexistes et irréalistes de femmes, quand bien même elles seraient protagonistes principales, à l’instar de Lara Croft dans le premier Tomb Raider.

Le gouvernement britannique s’est lancé dans un concours Lépine de propositions pour protéger la jeunesse des méchants écrans. Après avoir annoncé l’interdiction des réseaux sociaux aux moins de 16 ans le mois dernier, Londres prévoit désormais un couvre-feu numérique pour les 16 - 17 ans.

Les utilisateurs de cette catégorie d’âge se verraient interdire l’utilisation d’apps de réseaux sociaux entre minuit et 6 heures du matin, rapporte Reuters. Le réglage serait activé par défaut sur les smartphones, mais il pourrait tout de même être désactivé. Des fonctions addictives, à l’image du défilement infini, seraient également désactivées par défaut.

Le fait de pouvoir désactiver le réglage interroge tout de même sur la pertinence d’un tel dispositif. Le Parti conservateur, actuellement dans l’opposition, a qualifié le projet de « grand n’importe quoi » : « Soit [le gouvernement] estime que les jeunes de 16 à 17 ans doivent pouvoir accéder aux réseaux sociaux, soit il pense le contraire », explique ainsi Laura Trott, responsable de la politique éducative du Parti. « Mais des couvre-feux que [les jeunes] peuvent désactiver d’un simple geste ne serviront à rien. »

• #Flock : God save the kids

Le discours est évidemment tout autre du côté du gouvernement. « Ces mesures seront essentielles pour aider les jeunes à dormir suffisamment, à mieux se concentrer à l’école ou au collège, et à passer davantage de temps de qualité avec leur famille et leurs amis », a ainsi déclaré Liz Kendall, ministre chargée des Technologies. Son collègue Kanishka Narayan, ministre chargé de la Sécurité en ligne, a précisé de son côté que les grandes entreprises de la tech n’auront pas d’autre choix que d’intégrer les réglages nécessaires au couvre-feu.

Les premières mesures visant à encadrer les usages des réseaux sociaux seront présentées au Parlement d’ici la fin de l’année, avec une mise en œuvre prévue pour le printemps 2027.

Ces dispositifs seront suivis de très près à Bruxelles, qui prépare son propre arsenal de mesures pour interdire les réseaux sociaux aux moins de 13 ans.

• L’UE prépare le terrain pour interdire les réseaux sociaux aux moins de 13 ans

IA école ?

Les deux startups américaines proposent chacune une offre adressée spécifiquement au corps enseignant en lui promettant de le débarrasser des tâches administratives et de la préparation des cours.

Alors que les vacances d’été ont commencé et que les personnels de l’éducation pensent déjà (un peu) à la rentrée, OpenAI et Anthropic mettent en avant leurs offres en direction des enseignants états-uniens.

Les deux entreprises leur proposent des outils s’appuyant sur leurs modèles d’IA générative, avec des offres de lancement gratuites… pendant un an pour Anthropic et « jusqu’en juin 2028 » pour OpenAI. Elles se donnent donc un ou deux ans pour convaincre les enseignants d’utiliser en masse leurs outils, espérant les rendre indispensables dans leurs pratiques, pour ensuite facturer les institutions. Les deux offres sont calibrées pour être utilisées par les enseignants qui travaillent officiellement dans le cadre du K-12, le système scolaire des États-Unis allant de la maternelle (Kindergarten) au secondaire (grade 12).

• L’IA générative dans l’Éducation nationale : « pour l’instant, c’est du bricolage »
• L’IA dans l’éducation, un cadrage par le ministère… sans réel cadre pour les enseignants

OpenAI vise aussi maintenant les chefs d’établissement

Du côté d’OpenAI, une offre était déjà disponible pour les enseignants en novembre dernier en promettant déjà de simplifier le travail quotidien. À l’époque, l’entreprise annonçait une offre gratuite jusqu’en juin 2027. Elle repousse maintenant cette date « jusqu’en juin 2028 » mais en ajoutant à sa cible les chefs d’établissements. L’entreprise assure aux personnels enseignants que cette offre est différente d’un accès normal à ChatGPT dans le sens où elle leur fournirait «un espace de travail sécurisé qui […] permet de collaborer avec d’autres enseignants » de leur établissement ou de leur district (l’équivalent à une académie en France) ainsi que « des fonctionnalités avancées en matière de confidentialité des données et de conformité ».

Notamment, les chefs d’établissements et responsables de district peuvent demander un domaine propre pour regrouper les enseignants au sein d’un même espace de travail dont l’authentification peut se connecter à un service d’authentification unique (SSO) via SAML.

L’entreprise assure aussi aux enseignants que, par défaut, elle n’entrainera pas ses modèles sur leur matériel pédagogique ou la préparation de leurs cours. OpenAI leur promet un travail plus rapidement accompli grâce à des « suggestions de prompts directement dans l’application ».

Les espaces numériques de travail en ligne de mire

De la même façon, Anthropic vise les enseignants américains en les faisant rêver de « revenir à ce qui [les] a poussés à devenir enseignants ». « Se concentrer sur les élèves plutôt que sur la planification, la préparation et la paperasse » promet l’entreprise avec son programme « Claude for K-12 teachers », oubliant que la préparation des cours fait partie des tâches essentielles du métier d’enseignant. L’entreprise met en avant le fait d’avoir connecté son système avec des programmes d’études fondés sur les données, citant notamment les Learning Commons.

Anthropic met en avant son partenariat avec l’association Teach for America qui se donne notamment pour but de réduire les inégalités en matière d’éducation, mais ne fait pas l’unanimité. L’association a ainsi été accusée de « saper le système éducatif public américain à la base même en prônant le remplacement d’enseignants de carrière expérimentés par un modèle néolibéral d’éducateurs interchangeables et d’évaluations standardisées ».

L’entreprise de Dario Amodei donne, pour l’usage de ses outils par les enseignants, des exemples de plan de cours, de prompts d’analyse des notes des élèves, de notes de cours ou de gestion de la communication avec les parents. Elle aussi promet de ne pas entrainer ses modèles avec les données des enseignants et élèves.

Au final, les deux entreprises semblent espérer, à terme, remplacer les espaces numériques de travail (ENT) des écoles par un outil tout-en-un boosté par leurs modèles.

Le risque de confier la préparation des cours à une IA est notamment de laisser passer des informations ou des représentations hallucinées ou biaisées par les IA. Rappelons l’exemple de l’IA pour enseignants d’Universcience, Ada, qui accompagnait des cours d’images générées par IA absurdes sur l’évolution.

• Ada d’Universcience : l’IA pour enseignants avec des images GenAI absurdes sur l’évolution

La nouvelle version 1.3 de COSMIC Desktop vient de paraître. Cet environnement de bureau est pour rappel édité par l’entreprise System76, en plus de sa propre distribution Linux, Pop!_OS. D’abord réservé à cette dernière, COSMIC Desktop est devenu un projet indépendant, aussi open source et libre que le reste, développé intégralement en Rust et disponible sur d’autres systèmes. Fedora a par exemple son propre Spin.

Cette version 1.3 apporte surtout l’apparence « Frosted glass » aux éléments de l’interface. Les utilisateurs de Pop!_OS l’avaient eue il y a quelques jours, COSMIC Desktop 1.3 permet de l’activer sur toutes les autres distributions.

Le travail sur Frosted glass a duré plusieurs mois. Inspiré par le Liquid Glass, il fait davantage dans le verre givré/dépoli que dans le « verre liquide », avec un résultat plus sobre. Les réglages, désactivés par défaut, se trouvent dans Paramètres > Bureau. Sous le choix du type d’arrondi, une nouvelle entrée « Frosted glass » fait son apparition. Elle ouvre un panneau dans lequel on peut choisir les éléments sur lesquels on veut répercuter ce type d’affichage. On remarque d’ailleurs que tout est encore en anglais.

Le résultat final dépend largement du thème initialement choisi. Avec ceux par défaut pour le clair et le sombre, le verre givré apporte une touche de transparence, qui ne semble pas avoir les soucis de lisibilité qu’avait Liquid Glass dans la première proposition d’Apple (les versions 27 des systèmes travaillent d’ailleurs ce point). L’ajout de ces réglages reste optionnel et les personnes n’appréciant pas ce type d’affichage pourront passer leur chemin.

COSMIC Desktop 1.3 présente d’autres apports, comme l’affichage du GPU dédié dans le menu contextuel COSMIC, le support des fonds d’écran AVIF, le remplacement du backend personnalisé NetworkManager par nmrs (en Rust), un meilleur défilement pour la molette, ou encore des améliorations pour le nouveau COSMIC Monitor apparu dans la version 1.2 du Desktop, avec notamment le calcul de la consommation d’énergie pour les GPU AMD/Intel et la possibilité de suspendre les GPU NVIDIA.

Grouik Grouik

L’assistant dédié au code informatique de SpaceXAI, Grok Build, envoyait des projets entiers vers des serveurs distants, sans consentement préalable des développeurs concernés. L’entreprise et son patron Elon Musk ont reconnu le problème, assurant que les éléments distants seraient supprimés. Le comportement litigieux a été corrigé côté serveur, ce qui laisse donc la porte ouverte à une réactivation ultérieure.

Voilà une publicité dont SpaceXAI se serait sans doute bien passé. Un chercheur en sécurité, connu sous le pseudonyme Cereblab, a documenté le 10 juillet dernier la façon dont l’assistant en ligne de commande (CLI) dédié au code Grok Build envoyait le contenu des dépôts sur lesquels travaille l’utilisateur vers des serveurs distants.

Un assistant IA un peu trop curieux

Pour ce faire, il indique avoir simplement installé un proxy en sortie de sa machine, pour monitorer les échanges réseau. Sur un dossier de travail de 12 Go, il affirme avoir constaté que 5,1 Go de données, pourtant non manipulées lors de la session en cours, ont transité vers un bucket hébergé sur Google Cloud et avaient été « acceptés » par ce dernier.

Dans le lot figurait notamment un fichier .env, envoyé sans caviardage automatique des secrets. Son contenu se révèle pourtant sensible puisqu’il est dédié aux variables d’environnement telles que les clés d’accès aux interfaces de programmation (API) mises en œuvre dans le projet.

Son analyse illustre deux canaux d’échange en parallèle : un canal « modèle » dédié aux traitements, par lequel seuls 192 ko de données ont transité, et un canal « stockage », qui a donc chargé 5,1 Go d’informations. Pour aller plus loin, le chercheur a reproduit la manipulation, mais avec un prompt indiquant explicitement à Grok Build de ne lire aucun fichier. Là encore, il constate qu’un lot complet est expédié vers Google Cloud.

Le chercheur explique ensuite avoir reproduit l’expérience avec Claude Code, Codex d’OpenAI et Gemini, sans constater de transfert de données inapproprié. Il se garde en revanche de spéculer sur la finalité de cet envoi de données. « Rien de tout cela ne prouve que xAI [entraine ses modèles] sur les données. Ce qui est prouvé, c’est la transmission, l’acceptation et le stockage », écrit-il.

Plusieurs témoignages partagés sur les réseaux sociaux abondent dans le sens de ses découvertes. « Une simple commande vous permettra de voir si un fichier a été téléchargé : cat ~/.grok/logs/unified.jsonl | grep repo_state.upload », précise à ce sujet un développeur.

SpaceXAI a réagi en modifiant le comportement litigieux, comme le souligne Cereblab dans une mise à jour datée du 14 juillet :

« Depuis la publication : xAI a désactivé le chargement côté serveur (disable_codebase_upload : true) ; a ajouté une option de désactivation de la confidentialité (/privacy) — que j’ai testée et qui s’est avérée être un paramètre de conservation des données, et non un blocage de l’envoi. »

SpaceXAI admet à demi-mots un problème

L’entreprise n’a pas publié de note de version dédiée, mais elle s’est exprimée le 13 juillet sur X, en affirmant qu’aucune donnée n’était conservée pour les entreprises qui avaient fait le choix d’un fonctionnement sans rétention de données (ZDR). Pour les autres, elle indique que le nouveau paramètre /privacy permet de supprimer cette rétention de données directement depuis l’interface en ligne de commande, et que l’activation de cette dernière supprimait les données précédemment synchronisées.

Elon Musk a quant à lui minimisé la portée de l’incident, tout en assurant qu’en guise de mesure de précaution, toutes les données précédemment uploadées par SpaceXAI seraient supprimées. L’examen de la dernière version en date de Grok Build laisse toutefois supposer que la fonction d’envoi reste intégrée au client, ce qui signifie que SpaceXAI n’a pas bloqué en dur cette possibilité, mais simplement modifié à son niveau la politique associée. Un nouveau changement de configuration reste donc possible.

En attendant de voir si SpaceXAI clarifie la situation et propose des garde-fous plus solides, les utilisateurs de Grok Build ont sans doute intérêt à vérifier le statut de leurs propres dépôts et à en modifier les secrets.

• Dans la foulée de son IPO, SpaceX rachète Cursor et ses modèles dédiés aux développeurs

Microsoft poursuit son entreprise de réhabilitation de Windows 11 avec une nouvelle fournée d’améliorations et d’optimisations pour des fonctions de base du système d’exploitation. La recherche en profite directement.

Qui n’a pas un jour pesté contre les résultats de la recherche de Windows 11 ? Cela fait des années que les utilisateurs s’en plaignent, et mieux vaut tard que jamais : Microsoft a entendu ce cri du cœur. Les cobayes de la branche expérimentale du programme Windows Insider ont désormais la possibilité d’installer plusieurs nouveautés visant à faire place nette dans cet endroit vital du système d’exploitation.

L’écran d’accueil de la recherche se montre ainsi bien moins chargé en informations inutiles. Les contenus recommandés ont fait leurs bagages ; la zone ne propose désormais plus que les derniers résultats. Cela parait presque un peu vide, mais qui s’en plaindra ?

Les résultats d’une recherche en local se veulent eux aussi plus clairs et espacés, tout en présentant davantage d’informations et, quand c’est possible, un aperçu du fichier. Chercher un paramètre de l’OS renvoie vers des résultats plus propres et surtout qui proposent les réglages les plus pertinents en premier.

Quant à la recherche en ligne, elle perd le contenu promotionnel, ce qui ne fera de peine à personne. Les résultats web affichent désormais « les réponses les plus pertinentes » en premier lieu, plutôt que des promos ou des produits liés.

Dans le même ordre d’idée, il est désormais possible de ne plus afficher de suggestions web ni du Microsoft Store ; deux options à trouver dans le panneau Confidentialité et sécurité. Un petit tour dans ces réglages ne sera pas de trop, sachant qu’elles sont actives par défaut. Fin mai, Microsoft avait inauguré un autre changement important dans la branche expérimentale de Windows : obliger l’OS à ne chercher des résultats que dans les contenus locaux.

• Windows 11 : la mise à jour 26H2 se dessine pour cet automne

L’éditeur ajoute au lot une priorisation des résultats locaux lorsqu’ils correspondent mieux à la recherche. Par conséquent, les apps, les paramètres et les fichiers apparaissent systématiquement avant les suggestions du web et du Store (si elles sont activées). Le moteur se veut également plus souple vis à vis des erreurs de frappe : « utlook » trouvera « Outlook », par exemple.

Toujours pour la recherche, Microsoft promet également une amélioration de la stabilité, une réduction des plantages et moins de problèmes de chargement. Toutes ces modifications accompagnent le chantier à ciel ouvert d’un Windows 11 qui lâche un peu l’ajout sans queue ni tête de fonctions IA pour privilégier les besoins des utilisateurs.

Depuis le début de l’année, l’éditeur a multiplié les petites et grandes attentions, à l’image de la barre des tâches qui peut s’épingler en haut de l’écran, du menu Démarrer nettement plus personnalisable, ou encore d’un plus grand contrôle sur Windows Update. On a l’impression que Microsoft découvre la Lune ici, mais ce dépoussiérage en règle pourrait réconcilier quelques fâchés avec Windows 11. La version 26H2, qui sera livrée cet automne, permettra au grand public de tester une bonne partie de ces nouveautés.

Tout bloquer, faire le tri ensuite

Google demande à Bruxelles de manier le blocage des sites pirates avec beaucoup plus de précautions. Le groupe juge les mesures visant les DNS, les VPN, les CDN ou les adresses IP trop faciles à contourner et susceptibles d’emporter dans leur chute des millions de services parfaitement légaux.

Au premier trimestre 2027, Bruxelles prendra à bras le corps la question du piratage, en particulier pour les événements en direct, via la révision de la directive 2019/790 sur le droit d’auteur. Dans le cadre de cette initiative ciblée pour créer « un meilleur environnement de droit d’auteur », Bruxelles a lancé un appel à contribution ouvert largement : association, chercheur, organisation professionnelle, ONG… et entreprises.

Les dommages collatéraux de la lutte contre le piratage

Google n’a pas manqué l’occasion de soumettre sa contribution, dans laquelle le géant du web s’oppose aux blocages tous azimuts obtenus ces derniers mois devant différentes juridictions des États membres (PDF). Google estime que les blocages des infrastructures techniques d’internet sont non seulement inefficaces et disproportionnées, mais aussi dangereux pour les services parfaitement légaux.

Pour le groupe, le blocage d’un résolveur DNS, d’une adresse IP ou d’un VPN ne fait pas disparaitre le contenu illégal. Google explique que « [ces dispositifs] ne suppriment aucun contenu et peuvent facilement être contournés », en utilisant un autre résolveur DNS, par exemple. Ils n’offrent donc aucun effet durable contre le piratage.

L’entreprise ajoute que « le blocage d’une seule adresse IP risque inévitablement de restreindre l’accès à des milliers, voire des millions, de sites parfaitement légaux et sans aucun lien avec l’infraction. » Elle en veut pour preuve le blocage d’adresses Cloudflare en Italie : le Piracy Shield du pays a empêché l’accès à 42 millions de domaines, ainsi qu’à Google Drive et des services légitimes de VPN.

• Cloudflare crie à la censure et menace de quitter l’Italie après une amende salée

Google évoque aussi la décision de Cisco de retirer son service OpenDNS de France en 2024, suite à une décision de justice de blocage de sites web obtenu par Canal+. Le moteur de recherche rappelle à toutes fins utiles que les services de VPN sont des services techniques « accessibles légalement », et que leur usage licite ou illicite revient aux utilisateurs. « Le simple fait que ces services, ou des services similaires, puissent être utilisés à de telles fins ne suffit pas à établir que leurs fournisseurs communiquent eux-mêmes l’œuvre protégée au public », ajoute Google.

Pour le groupe américain, un blocage ne devrait intervenir qu’en dernier recours, après que les ayants droit ont démontré qu’ils ont tenté de contacter l’auteur de l’infraction, que les procédures de notification et de retrait ne suffisent pas, et que la suppression du contenu chez l’hébergeur a échoué. Évidemment, tout cela demande du temps alors que les diffuseurs essaient de couper l’herbe sous le pied du streaming illégal dès les premières minutes de la retransmission de la compétition.

Google défend le DSA

Google défend l’idée que « les injonctions ne devraient pas viser des infrastructures mondiales de l’internet telles que les résolveurs DNS, les VPN ou les CDN ». Et pour être proportionnées, « les injonctions devraient viser le niveau approprié et la source du contenu. »

Aussi incroyable que cela puisse paraitre, Google se fait aussi le chevalier blanc du DSA, le règlement sur les services numériques. La société pense ainsi que « les injonctions ne constituent ni un substitut ni un moyen de contourner le mécanisme de notification et d’action prévu par le DSA ». Certains dispositifs nationaux permettent à des acteurs privés de transmettre des listes de blocage, qui sont ensuite transformées « presque automatiquement » en décisions administratives.

C’est de cette manière – consolidée par une récente décision de la Cour d’appel de Paris, n’en déplaise à Google – que fonctionne le mécanisme qui permet à Canal+ et autres diffuseurs de bloquer des sites illégaux. Une fois qu’un ayant droit a décroché une ordonnance enjoignant le blocage d’une liste de sites pour la durée de la compétition, le titulaire des droits a la possibilité de demander à l’Arcom de mettre à jour ou d’étendre cette liste pour y intégrer les sites miroir découverts par l’ayant droit. Plus besoin de retourner en justice, avec les formalités que cela implique.

• Formule 1, MotoGP : Canal+ fait feu de tout bois pour faire bloquer le streaming pirate

Google n’est pas opposée au blocage, mais l’entreprise réclame des mesures beaucoup plus ciblées, limitées dans le temps et soumises à un véritable contrôle judiciaire. Elle propose aussi de créer « davantage d’alternatives légales, et de meilleure qualité ». L’insatisfaction des consommateurs est un des principaux moteurs du piratage, souligne la société.

« L’un des meilleurs moyens de lutter contre ce phénomène consiste donc à proposer des offres légales plus pratiques et plus attractives. Nous avons ainsi développé des produits offrant une expérience utilisateur convaincante, comme YouTube Music, afin de générer des revenus pour les industries créatives et d’orienter le public vers des alternatives légales. »

Comme le souligne TorrentFreak, la position très critique de Google en Europe contraste avec le silence de l’entreprise face à un projet législatif aux États-Unis pour permettre à des ayants droit d’obtenir devant un tribunal le blocage de sites étrangers consacrés au piratage.

• Piratage : l’Arcom revendique le blocage de plus de 15 000 noms de domaine depuis 2022

Mise à jour, 11h30 : ajout d’une mention d’une récente décision de la Cour d’appel de Paris, qui invalide une partie de l’argumentation de Google vis-à-vis du DSA.

En juin, Microsoft avait déjà battu son record avec 200 failles corrigées. Entre temps, l’éditeur a expliqué comment l’intelligence artificielle faisait désormais partie de ses processus de révision. Il fallait donc s’attendre à une déferlante de correctifs dans les mois qui suivraient, avant sans doute de retomber sur un rythme de croisière.

• Microsoft officialise son utilisation intensive de l’IA pour la découverte des failles

Le nouveau Patch Tuesday explose littéralement les compteurs : 570 vulnérabilités corrigées, dont 59 sont critiques. 48 d’entre elles sont de type exécution de code à distance, 9 d’élévation des privilèges, une permet un contournement de la sécurité et la dernière est de type spoofing.

Dans cet énorme lacher de correctifs, on en repère également trois pour des failles 0-day, dont deux activement exploitées : CVE-2026-56155 (Active Directory Federation Services) et CVE-2026-56164 (SharePoint). La troisième, CVE-2026-50661, permet un contournement de BitLocker si l’on réussit à obtenir un accès physique au stockage. Elle ne semble pas exploitée, mais ses détails sont publics.

Il est recommandé de se rendre dans Windows Update au plus vite pour télécharger et installer la mise à jour, qui réclamera un redémarrage. La dangerosité ne vient pas tant du nombre total de failles corrigées que du nombre de vulnérabilités critiques. Reste à voir maintenant si le Patch Tuesday d’août sera du même acabit.

Coup de chaud sur les batteries

Les fabricants de montres connectées et plus généralement de petits appareils à porter sur soi peuvent pousser un ouf de soulagement. La Commission européenne a en effet décidé d’exempter de nouvelles catégories de produits des exigences liées au retrait et au remplacement des batteries.

À compter du 18 février 2027, de nombreux appareils intégrant une batterie devront faire en sorte que le composant puisse facilement être retiré et remplacé par l’utilisateur, durant toute la durée de vie du produit. C’est par exemple le cas des consoles – Nintendo, principal concerné ici, débutera d’ailleurs la commercialisation de « nouvelles » Switch 2 en Europe équipées d’une batterie remplaçable dès cet automne.

• En Europe, la Switch 2 à batterie remplaçable arrive, fin de partie pour la Switch 1

Le règlement relatif aux batteries et aux déchets de batterie du 12 juillet 2023 ne dresse pas une liste fermée de produits, mais raisonne par type de batterie incorporée dans les appareils. De fait, il concerne aussi bien les smartphones que les ordinateurs portables, les appareils électroménagers, les jouets, mais aussi les vélos et les trottinettes électriques…

Dans un acte délégué adopté ce mardi 14 juillet, la Commission européenne a ajouté six nouvelles catégories de produits pouvant déroger à l’obligation de disposer d’une batterie remplaçable par l’utilisateur. Celle-ci devra néanmoins pouvoir être retirée et remplacée par un professionnel indépendant.

Apple, Fitbit et compagnie peuvent souffler

La nouvelle liste comprend notamment certains appareils portés sur soi : montres et lunettes connectées, bracelets et traqueurs d’activité, ou encore dispositifs électroniques intégrés à des vêtements et accessoires. La dérogation s’applique lorsque l’accès à la batterie par l’utilisateur risquerait de compromettre la sécurité, la durabilité ou l’étanchéité du produit. Elle peut concerner les appareils trop petits pour permettre une manipulation sûre de la batterie, ainsi que ceux dont le fonctionnement repose sur un boîtier compact et scellé (notamment pour les protéger de la poussière et des chocs)

Certains écouteurs sans fil pouvaient déjà bénéficier de la dérogation prévue pour les appareils conçus principalement pour fonctionner dans un environnement régulièrement exposé à l’eau. La Commission les cite parmi les produits susceptibles d’entrer dans cette catégorie, notamment lorsqu’ils sont exposés à la transpiration, aux éclaboussures ou à la pluie. Cette dérogation n’est toutefois pas automatique : le fabricant doit démontrer que le remplacement par l’utilisateur compromettrait la sécurité du produit et qu’une modification de sa conception n’est pas raisonnablement possible.

Bruxelles ne cite pas explicitement les casques audio. Certains modèles pourraient néanmoins relever de la dérogation applicable aux appareils portés sur soi ou à ceux utilisés en environnement humide, selon leur taille, leur conception et leur niveau d’étanchéité.

Sont également concernés les jouets électriques équipés d’une batterie rechargeable (jusqu’au 31 juillet 2030), les sondes thermométriques sans fil destinées au contact avec les aliments, les systèmes portés sur le corps qui administrent des médicaments par voie sous-cutanée (du type pompes corporelles), ainsi que les équipements relevant de la directive ATEX, conçus pour être utilisés dans des atmosphères explosibles : moteurs antidéflagrants, capteurs, pompes ou chariots élévateurs. La sixième catégorie couvre les dispositifs télématiques installés sur le toit de machines agricoles ou de chantier et exposés à de fortes vibrations, à la poussière et à l’humidité.

L’Apple Watch échappe au tournevis

Les constructeurs de ces produits, en premier lieu Apple (mais on pense aussi à Garmin, Fitbit/Google et bien d’autres) seront donc soulagés. Pas besoin de faire des prouesses d’ingénierie ni d’augmenter l’épaisseur de ces appareils, ce qui n’aurait pas été très vendeur.

Pour amender le règlement sur les batteries, l’exécutif européen avait lancé un appel à candidatures l’an dernier : associations de consommateurs, représentants de l’industrie et les États membres ont ainsi pu donner des indications. Des experts externes ont également été consultés.

« Lors de l’élaboration de ce texte, la Commission a cherché à trouver un équilibre entre les intérêts des différentes parties prenantes, notamment les consommateurs, les réparateurs indépendants, les fabricants de produits et de batteries, ainsi que le secteur du recyclage. »

La Commission a également mis à jour les lignes directrices existantes sur le retrait et le remplacement des batteries (PDF). Le composant doit ainsi pouvoir être retiré sans outil (avec les doigts, finalement), avec des outils de base, ou encore avec des outils disponibles dans le commerce. Les outils spécialisés sont autorisés, mais uniquement s’ils sont fournis gratuitement avec le produit. Le règlement exclut le recours à de l’énergie thermique ou à des solvants pour démonter l’appareil.

Google est accusé d’avoir commis « l’une des violations de droits d’auteur les plus massives de l’histoire ». La plainte déposée notamment par Hachette contre le géant du web l’accuse d’avoir puisé sans autorisation dans des millions de livres et d’articles pour entraîner Gemini, avant de dissimuler l’origine de ces contenus.

Google fait l’objet d’une plainte [PDF] datée du 10 juillet et déposée entre autres par Hachette, l’éditeur américain spécialisé dans l’éducation Cengage, le groupe d’édition scientifique Elsevier ou encore l’auteur à succès Scott Turow. D’après les plaignants, le moteur de recherche aurait entraîné l’IA de Gemini à partir d’ouvrages obtenus par des services comme Google Books, Google Play Books et Google Scholar, alors que les autorisations d’exploitation de l’entreprise se limitaient à la recherche, l’affichage d’extraits ou la vente.

Google se serait aussi rendu coupable d’avoir intégré des textes récupérés sur le web, y compris depuis des sites pirates. Le groupe aurait également réalisé des copies de ces œuvres au moment de préparer les données et d’entraîner ses modèles. « Google a également supprimé les informations de gestion des droits d’auteur des œuvres protégées qu’il avait dérobées, afin de dissimuler les sources utilisées pour l’entraînement et de faciliter leur utilisation non autorisée », déplore la plainte.

Google fait le mal

« Désespéré à l’idée de préserver sa domination en ligne, Google a abandonné son ancienne devise, “Don’t be Evil”, et s’est livré à l’une des violations de contenus protégés par le droit d’auteur les plus massives de l’histoire », attaquent les plaignants. « Google a reproduit des millions d’œuvres protégées sans autorisation, sans verser la moindre compensation aux auteurs ou aux éditeurs, et en sachant parfaitement que sa conduite enfreignait le droit d’auteur », poursuivent-ils.

La plainte, déposée à New York et révélée par The Wrap, soutient que Gemini peut produire des résumés très détaillés, des passages proches des originaux, des chapitres ou des textes qui imitent le style de certains auteurs. Des contenus générés par IA qui concurrencent directement les livres et les articles originaux, sans rien verser aux auteurs.

Les plaignants demandent que la procédure soit reconnue comme un recours collectif. Ils veulent aussi que le tribunal reconnaisse que Google a enfreint le droit d’auteur et le DMCA, et qu’elle doit arrêter ses pratiques illégales, se voir imposer le versement de dommages et intérêts, et l’obligation de détailler les contenus utilisés pour entraîner Gemini.

Google n’est pas la seule entreprise IA visée par de telles accusations. En fait, elles font toutes l’objet de telles plaintes ou polémiques. Encore tout récemment, Apple a été poursuivie par des chaînes YouTube. Anthropic avait joué du carnet de chèques en septembre 2025, en mettant 1,5 milliard de dollars sur la table pour éteindre une poursuite initié par des auteurs et autrices. Le Français Mistral AI a lui aussi fait l’objet d’une enquête démontrant l’entraînement de modèles sur des textes littéraires.

Depuis la plainte déposée par Apple en fin de semaine dernière, les projets matériels d’OpenAI semblent se dessiner en pointillés. Le labo IA assure pourtant n’avoir rien fait de mal, et par le plus grand des hasards, une indiscrétion très crédible détaille le premier produit qu’OpenAI pourrait lancer. Ni un smartphone ni des lunettes, mais une enceinte.

Apple et OpenAI sont donc en guerre ouverte depuis vendredi dernier, lorsque le premier a porté plainte contre le second pour vol de secrets industriels (entre autres). Le créateur de ChatGPT n’était pas allé très loin dans sa défense jusqu’à présent, mais il est sorti de sa torpeur depuis. Dans une déclaration signalée par Bloomberg, la startup affirme n’avoir connaissance d’aucun élément qui permettrait d’étayer la thèse d’Apple. « Nous croyons en une concurrence loyale et en la liberté de chacun de travailler où il le souhaite », ajoute-t-elle.

• Apple porte plainte contre OpenAI, « pourrie jusqu’à la moelle »

En attendant d’en savoir plus sur ce qui s’annonce comme un feuilleton (ou une telenovela…) trépidant au cœur de la Silicon Valley, Mark Gurman, du même Bloomberg, révèle ce qui pourrait bien être le premier produit à sortir du garage d’OpenAI. On laissera chacun juger si ce bruit de couloir est un heureux hasard ou une coïncidence fortuite. Quoi qu’il en soit, il semble indiquer qu’OpenAI ne veut pas se frotter (pas tout de suite) au marché du smartphone.

Dans cette aventure matérielle, le labo est épaulé par io Products, une start-up créée par Jony Ive, rachetée en mai 2025 pour 6,5 milliards de dollars. Selon cette rumeur donc, ce produit serait une enceinte connectée, sorte de HomePod mini portable (équipé d’une batterie) et doté d’une caméra, mais pas d’écran en vue.

Une enceinte qui donne de la voix à ChatGPT

L’engin pourrait prendre la forme d’un galet ou d’un petit cylindre, en tout cas quelque chose de suffisamment compact pour être transporté d’une pièce à une autre. La base accueillerait la batterie, les haut-parleurs et probablement un socle de recharge. Sur la partie supérieure, l’enceinte intégrerait les micros, la caméra et d’autres capteurs chargés de scruter l’environnement.

Plus intriguant, certaines parties de l’enceinte seraient en mesure de pivoter, de s’incliner ou de se redresser, permettant ainsi à la caméra de se « tourner » vers la personne qui parle. Il y a un petit air de lampe articulée ici. Un produit qui, en tout cas, n’aurait finalement rien à voir avec quoi que ce soit au catalogue d’Apple… et qui donc, n’enfreindrait aucun brevet.

Et bien sûr, ce produit serait une extension physique de ChatGPT, avec des capacités vocales basées sur une version évoluée de GPT-Live, les nouveaux modèles vocaux d’OpenAI. L’entreprise voudrait présenter cette enceinte comme un « ordinateur conçu pour l’IA pour aider les gens occupés à être plus productif ». Tout un programme.

OpenAI et les quelque 400 transfuges d’Apple plancheraient sur cinq nouveaux produits. L’enceinte pourrait être lancée dès l’année prochaine, mais le calendrier est désormais très flou en raison de la plainte d’Apple.