Anthropic a annoncé le 30 juillet que trois incidents impliquant ses IA avaient été détectés. Chacun a impliqué une attaque distincte contre une organisation. Des informations rendues publiques dans le sillage de l’affaire liant déjà OpenAI à la compromission de Hugging Face.
Faisons d’abord un bref rappel des faits. Le 16 juillet 2026, Hugging Face publie une divulgation décrivant une intrusion détectée sur son infrastructure, causée vraisemblablement par un agent IA autonome. Le 21 juillet, OpenAI reconnaît que l’attaquant était en réalité son propre harnais d’évaluation, mobilisant une combinaison de modèles internes (GPT‑5.6 Sol) et un modèle en préversion décrit comme « plus puissant ». Les garde-fous anti-cyber avaient été volontairement réduits pour les besoins du test.
Cette infrastructure s’en est prise à Hugging Face en exploitant au moins deux vulnérabilités 0-day dans le pipeline de traitement de données, avec pour résultat une exécution de code à distance, le vol d’identifiants et l’accès à des jeux de données et services internes. En clair, une compromission. L’affaire avait révélé un « problème d’asymétrie » : Hugging Face ne pouvait pas utiliser les API commerciales des fournisseurs de LLM à cause des fameux garde-fous et avait dû se tourner vers une installation locale du modèle chinois GLM 5.2 (poids ouverts) pour mener ses propres analyses.
C’est dans ce climat qu’Anthropic a annoncé, le 30 juillet, avoir mené sa propre revue rétrospective et avoir trouvé des cas « similaires ».
Triple oups
Anthropic a examiné 141 006 « runs » d’évaluation dans lesquels Claude aurait pu obtenir un accès internet. Sur cet ensemble, trois incidents distincts (impliquant six runs au total, dont quatre concernant une même organisation) ont été identifiés. Tous se sont produits dans l’environnement de test fourni par un partenaire, Irregular, une société israélienne de red-teaming en cybersécurité IA.
Cette revue a commencé le 23 juillet, deux jours après la publication d’OpenAI sur son implication dans la compromission de Hugging Face. Le même jour, des éléments suspects sont déjà trouvés. Trois incidents sont identifiés le 24 juillet et trois jours plus tard, Anthropic communique les éléments découverts à Irregular et aux organisations touchées par les incidents. Parmi elles, deux n’avaient pas détecté l’intrusion avant d’être notifiées.
Il reste 79% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Suite à une demande des États-Unis, l’Europe était d’accord pour différer de 24 heures la diffusion des images satellites de Sentinel 1 et 2 dans une région du golfe d’Oman, au nom de la « sécurité pour les intérêts de l’Union ». Deux semaines plus tard, l’Europe indique que cette décision est « nulle et non avenue », sans expliquer pourquoi.
C’est une drôle d’histoire qui est en train de se jouer dans les arcanes de l’Union européenne. Le 14 juillet, le Conseil de l’UE a publié la décision (PESC) 2026/1716 (signée la veille, le 13 juillet) « relative aux instructions concernant la sécurité des systèmes et services déployés, exploités et utilisés dans le cadre du programme spatial de l’Union ».
Le document explique que, le 26 mai 2026, « par une démarche diplomatique, les autorités compétentes des États-Unis d’Amérique ont demandé […] de différer la diffusion des produits Sentinel-1 et Sentinel-2 de Copernicus concernant une zone géographique spécifique faisant partie du golfe d’Oman […] de vingt-quatre heures ».
Il reste 82% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Comment contourner les résumés IA de Google ? Next fait un tour d’horizon des solutions disponibles, mais attention : toutes ne se valent pas, loin de là.
Ça y est, les résumés IA apparaissent en haut des recherches Google en France. Pendant près de deux ans, l’Hexagone avait fait partie des rares territoires où l’entreprise n’avait pas déployé cette nouvelle fonctionnalité nommée AI Overviews.
En cause : l’entreprise attendait de trouver une forme de compromis avec les éditeurs de presse et les autorités sur la question des droits voisins. Aucun accord collectif n’a été trouvé pour le moment, mais la société états-unienne prévoirait d’intégrer le sujet des AI Overviews aux accords qu’elle passerait avec différents titres.
Pour l’internaute, en tous les cas, cette évolution a une conséquence : elle repousse encore plus loin l’accès aux liens susceptibles de répondre à sa requête. Formulez une recherche dans la barre du moteur le plus utilisé, vous aurez désormais un résumé généré par IA – dont l’exactitude peut tout à fait varier, dans la mesure où aucun modèle de langage ne comprend la notion de fait –, les éventuels liens sponsorisés, puis seulement les liens classiques.
En déployant ses AI Overviews, Google n’a prévu aucun moyen simple de les désactiver. Si néanmoins cette nouvelle expérience utilisateur vous déplaît, que vous refusez de faire tourner des moteurs d’IA sans avoir une bonne raison de le faire, ou que vous voulez protéger des proches des spams et des éléments de désinformation auxquels les résumés IA pourraient les exposer, voici quelques manipulations et outils qui pourraient vous servir.
Continuer d’utiliser Google, sans l’IA. Attention aux fausses bonnes idées
Avec 90 % des parts de marché dans le monde et 88 % en France, Google est très bien implanté dans les usages. Il y a donc de fortes chances que, depuis votre ordinateur, votre tablette ou votre smartphone, vous y recouriez à un moment ou un autre.
Le principal problème est que Google ne propose pas de manière simple de supprimer les résumés IA depuis son compte. Un paramètre dans la « Personnalisation de la Recherche » serait pratique, mais Google veut surtout pousser son IA générative Gemini autant que possible.
Une tactique mise en avant par certains consiste à ajouter « -ia », « -ai » ou « -noia » au début ou à la fin de votre recherche. Il s’agit d’un détournement d’un opérateur d’exclusion bien connu sur le moteur de recherche. Il indique simplement qu’on ne veut pas du mot ia, ai ou noia suivant les cas, rien de plus. Mais il s’agit davantage d’un effet secondaire que d’une vraie fonction, car les résumés IA disparaissent avec la plupart des exclusions. Par exemple, « informatique quantique » donne un résumé IA, contrairement à « informatique quantique -qubits », pourtant rien à voir avec « ia » dans notre exclusion.
Cet opérateur (comme les autres dans Google) modifie votre requête et donc les résultats affichés. Ajouter « -ia » ne fait donc pas que « supprimer » les résumés IA, cela change aussi la nature de votre recherche. Voici trois exemples avec « informatique quantique », « informatique quantique -ia » et « informatique quantique -ai », tous menés depuis Google.fr, sans paramètre supplémentaire dans l’URL, en navigation privée :
Un paramètre dans l’URL et vous voici par défaut dans le mode « Web »
Passons à une méthode plus efficace : ajouter un paramètre dans l’URL envoyée à Google : udm=14 (connu depuis 2024) ou udm=web. Cette fonction ne sort pas de nulle part, elle est donnée par le moteur de recherche lui-même, mais de manière détournée.
Il reste 73% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Mise à jour, 21 h – Les blagues les meilleures sont les plus courtes. Google a annoncé la suspension de l’outil de génération d’images par IA dans Google Earth, après avoir constaté que « certaines personnes partageaient des captures d’écran d’images générées qui semblaient enfreindre nos règles ». Tiens donc. La fonction pourrait revenir, mais avec des garde-fous « plus solides ».
Article original –Google a eu une drôle d’idée : intégrer Nano Banana 2, son modèle IA de génération d’images, dans Google Earth. Il devient maintenant possible d’« améliorer » des éléments présents dans les images satellites, de générer de nouveaux bâtiments, et même d’intégrer des objets qui n’ont rien à voir avec la réalité.
L’IA générative peut nous aider à vivre une autre vie, plus riche, plus amusante, mais aussi complètement fausse. Google Earth permet désormais de transformer le monde selon ses humeurs : un nouvel outil de génération d’images alimenté par Nano Banana 2 offre enfin la possibilité d’intégrer n’importe quoi sur la planète. Godzilla à côté de la Tour Eiffel ? Et pourquoi pas : il suffit de saisir la requête et bim.
Je le voyais plus grand.
Les petits plaisantins vont bien s’amuser à faire n’importe quoi, mais cette nouvelle fonction pourrait aussi avoir des répercussions autrement plus sérieuses qu’un sourire. L’auteur Henk van Ess a eu l’idée d’insérer une centrale nucléaire en Iran, des réfugiés à la frontière entre le Mexique et les États-Unis, un hôpital à côté d’un cratère provoqué par une bombe dans la bande de Gaza. Des événements et des objets complètement fictifs, crédibilisés par le rendu photoréaliste du modèle IA. À deux doigts de se demander si les États-Unis n’ont pas eu un accès anticipé…
On est loin de l’aspect ludique vanté par Google dans la présentation de la nouveauté (« Parfois, il est amusant de laisser libre cours à son imagination », écrit le groupe). Ces images trafiquées pourraient servir dans des campagnes de désinformation, fabriquer de prétendues « preuves » ou simplement semer le doute sur des événements réels. Google Earth ne montre plus le monde tel qu’il est (ou a été), mais aussi tel qu’un utilisateur voudrait le faire croire.
Google se défend auprès d’Henk van Ess, en affirmant prendre la désinformation « très au sérieux » et rappelle que les images générées par Nano Banana dans Google Earth intègre un filigrane SynthID. Il est possible d’interroger Gemini ou d’utiliser Google Lens pour vérifier si une image a été produite par une IA. Une procédure encore peu connue, qui n’empêchera pas les prophètes de malheur de remodeler le monde selon leurs obsessions.
L’entreprise assure également bloquer les requêtes jugées dangereuses, ce qui n’a pas empêché van Ness de générer un accident de voiture dans une rue d’Amsterdam, ni ses autres prompts.
Comment concilier protection des données et IA agentique ? Dans une note publiée le 20 juillet, le CIANum (Conseil de l’IA et du Numérique) et la CNIL se sont penchés sur la question, pointant le vaste changement d’échelle dans le traitement des données et la complexification de la maitrise des risques face aux systèmes autonomes.
L’objectif de la nouvelle note est d’examiner comment le RGPD s’applique concrètement à l’IA agentique. Elle laisse volontairement de côté le Règlement sur l’IA (RIA) dont l’application complète n’est prévue qu’en 2027 et qui ne prévoit pas de régime spécifique pour les agents.
La note ne vise donc pas à proposer un nouveau texte de loi, mais à identifier les tensions entre un cadre juridique existant (conçu pour des traitements déterminés par des humains) et une technologie qui agit de façon autonome, puis à esquisser des pistes de conciliation, aussi bien juridiquement que techniquement.
Une mise en tension des principes du RGPD
Il reste 87% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Tout roule pour Seagate, qui voit ses bénéfices et sa marge brute augmenter fortement. Le fabricant de disques durs en profite pour parler de son avenir avec des HDD de 50 To et plus dès l‘année prochaine, dans la gamme Mozaic 5.
Seagate vient de publier son bilan financier pour le quatrième et dernier trimestre de son exercice financier 2026. L’entreprise voit ses revenus trimestriels augmenter de 50 % et de 34 % sur un an. Le bénéfice net suit la même tendance avec 3,184 milliards de dollars en 2026, contre 1,469 milliard en 2025.
La pénurie et la hausse des prix n’ont pas les mêmes conséquences pour tout le monde… comme en témoigne aussi la marge brute, passée de 35,2 % à 45,6 % en un an. Seagate se réjouit aussi d’avoir « terminé son année fiscale 2026 dans les délais prévus concernant la montée en puissance des produits basés sur la technologie HAMR ».
HAMR, pour Heat Assisted Magnetic Recording, est une technologie qui utilise un faisceau laser pour atteindre localement une température de plusieurs centaines de °C (Seagate parle de 425 °C) afin de polariser un grain magnétique et ainsi stocker un bit d’information. Il y a deux ans, Seagate affirmait que la fiabilité avait été améliorée et qu’elle était alors au « même niveau que les disques durs PMR [Perpendicular Magnetic Recording, ndlr] traditionnels ».
Chez Seagate, la gamme HAMR se décline dans les disques durs Mozaic. La première génération était Mozaic 3 avec des HDD de 3,5 pouces de 30 To et plus. Le constructeur affirme que les produits de cette gamme sont désormais « qualifiés et opérationnels en environnement de production chez tous les principaux clients cloud ». Fin 2025, ils n’étaient « que » cinq.
La deuxième génération, Mozaic 4 (avec des expéditions en volume depuis mars 2026) avec des disques durs jusqu’à 44 To, « continue sa montée en puissance chez les deux plus grands fournisseurs de cloud mondiaux, et des qualifications supplémentaires auprès d’autres clients sont en cours ». Fin 2025, seuls deux fournisseurs majeurs du cloud avaient qualifié les disques durs Mozaic 4.
Seagate prévoit qu’à la fin de l’année 2026 (civile cette fois-ci), 50 % des exaoctets produits dans la gamme HAMR viendront de la série des HDD Mozaic 4, qui rencontre au passage un « franc succès », affirme David Mosley, directeur général de Seagate.
Mais l’entreprise en profite surtout pour parler de l’avenir avec Mozaic 5 et donc des disques durs de 50 To et plus – avec des plateaux de 5 To et 10 plateaux par disque. Elle prévoit des « livraisons de qualification à la fin de l’année calendaire 2027 ».
Le fabricant explique que, dans les disques durs actuellement vendus, l’augmentation des capacités ne vient pas seulement d’une multiplication du nombre d’unités, mais d’une meilleure densité : « Si vous prenez l’année dernière, et que vous regardez le nombre de plateaux et de têtes à l’intérieur du HDD, nous avons probablement progressé de 15 à 20 %, alors que le nombre d’unités est resté absolument stable ».
De manière générale, la moyenne des disques durs s’approche de plus en plus de 10 plateaux par HDD (et donc 20 têtes de lecture/écriture). Seagate reste pour le moment à 10 plateaux maximum, là où ses concurrents vont plus loin : Western Digital est monté à 11, puis Toshiba à 12 plateaux. Il est de plus en plus complexe d’en ajouter car les dimensions du 3,5 pouces sont contraintes si l’on veut rester dans le format classique.
Et ce n’est pas encore la fin de l’augmentation des capacités, loin de là. Fin 2025, Seagate annonçait avoir atteint une capacité de 6,9 To par plateau dans ses laboratoires, soit 69 To dans un seul disque dur avec 10 plateaux.
À l’horizon 2032, Seagate prévoit de passer à 10 To et donc à des disques durs de 100 To. Le fabricant affirme avoir « des idées pour maximiser la capacité de densité surfacique du HAMR à 10 To/disque et au-delà, y compris de nouvelles architectures système et conceptions de lecteurs ». 150 To et plus sont déjà évoqués.
Les premières mesures de l’AI Act sont en application depuis février 2025, mais bon nombre de dispositifs restent à mettre en route. Une révision ciblée de la réglementation européenne sur l’intelligence artificielle, entrée en vigueur le 27 juillet, sera effective cette fin de semaine. Elle confère à la Commission de nouveaux pouvoirs de surveillance, injecte de la transparence dans les contenus générés par IA, tout en arrondissant les angles avec les industriels.
À partir de ce dimanche 2 août, une portion importante de l’AI Act va être appliquée. Un des aspects les plus significatifs de cet omnibus de « simplification » — le règlement UE 2026/1744 modifiant l’AI Act (PDF) – concerne directement la Commission européenne. Bruxelles, ou plutôt le Bureau européen de l’IA, va en effet gagner de nouveaux pouvoirs directs de surveillance, d’enquête et de sanction.
La Commission devient l’autorité de surveillance du marché compétente quand un système d’IA constitue lui-même une très grande plateforme en ligne (VLOP) ou un très grand moteur de recherche (VLOSE), au sens du règlement sur les services numériques (DSA), ou si ce système est intégré à l’un de ces services.
Concrètement, les fonctions d’IA proposées par les VLOP et VLOSE épinglées au DSA relèveront directement de la surveillance de la Commission. Elle peut superviser autant le modèle que le système qui l’exploite, même s’ils sont développés par des entités juridiques différentes du même groupe.
Le texte ne donne pas d’exemple précis, mais on peut penser à Gemini dans la recherche de Google, ou encore l’assistant Meta AI dans Instagram et Facebook ; la Commission pourra donc superviser directement ces fonctions au titre de l’AI Act, en plus des pouvoirs déjà exercés sur Google et sur Meta dans le cadre du DSA.
Sursis pour les systèmes à haut risque
Sur un plan moins institutionnel, l’omnibus confirme également le report de la mise en œuvre des obligations concernant les systèmes d’IA à haut risque. L’application des règles pour les usages à haut risque recensés dans l’annexe III (recrutement, éducation, accès à certains services essentiels, maintien de l’ordre, migration, justice, etc.) est repoussée au 2 décembre 2027, soit un délai supplémentaire de 16 mois. La précédente date avait été fixée à ce dimanche 2 août.
Pour les produits réglementés ou les composants de sécurité d’un produit (dispositifs médicaux, équipements industriels, ascenseurs, jouets…), les règles s’appliqueront au 2 août 2028. Autrement dit, les obligations de gestion des risques, de qualité des données, de documentation technique, de journalisation, de supervision humaine, de robustesse et d’évaluation de conformité sont reportées.
En mai dernier, pour expliquer cette reculade, la Commission avait avancé que ce nouvel échéancier permettrait de s’assurer que « les normes techniques et les autres outils d’accompagnement seront en place avant l’entrée en application des règles ». Bruxelles avait fait l’objet d’un lobbying intense de la part de nombreux industriels et représentants du secteur pour assouplir le calendrier.
À compter de ce dimanche, l’AI Act active les mesures inscrites dans l’article 50 du texte : les obligations de transparence. C’est un gros morceau qui devrait concrétiser le règlement aux yeux des utilisateurs, puisqu’ils devront en principe être avertis lors d’une interaction avec une IA (sauf quand elle est évidente).
Comme nous l’avions cela dit déjà souligné dans un précédent article, cette obligation de transparence prévue à l’article 50 ne s’applique pas « lorsque le contenu généré par l’IA a fait l’objet d’un examen humain ou d’un contrôle éditorial et qu’une personne physique ou morale assume la responsabilité éditoriale de la publication dudit contenu ».
Il suffira donc aux sites d’infos générés par IA de disposer d’un directeur de la publication, et de prétendre que leurs articles ont été supervisés par un humain, pour ne pas avoir à être transparents quant à leur recours à l’IA générative.
Les déployeurs – médias, agences, partis politiques… – devront signaler les deepfakes. Les textes générés ou manipulés par l’IA concernant des sujets d’intérêt général devront également être signalés comme tels. Les personnes exposées à un système de reconnaissance des émotions ou de catégorisation biométrique devront en être informées. Les fournisseurs d’IA générative devront également intégrer un marquage technique de détection des images, sons, vidéos ou textes générés ou manipulés par IA.
On ne risque cependant pas de voir tout cela dès la fin de la semaine : l’omnibus précise que les systèmes commercialisés avant le 2 août bénéficient d’un sursis de 4 mois pour respecter les obligations de marquage technique (soit jusqu’au 2 décembre).
L’omnibus contient aussi une mesure d’interdiction des systèmes de « nudification » sans consentement et de génération de contenus relatifs à des abus sexuels sur enfants. Elle aussi n’entrera en vigueur que le 2 décembre finalement. Peut-être entendra-t-on alors SpaceXAI venir se plaindre que l’Europe musèle la liberté d’expression de Grok.
Les mises à jour de sécurité vont s’accélérer pour Chrome, grâce à l’IA qui mange des bugs et des vulnérabilités au petit déjeuner. Google a annoncé d’importants changements pour son navigateur web, à commencer par la livraison de deux fournées de correctifs chaque semaine, au lieu d’une. L’entreprise planche aussi sur un système permettant à Chrome de se mettre à jour sans redémarrage.
L’IA générative fait manifestement des miracles pour au moins une chose : trouver des bugs et des failles de sécurité dans le code. Les mises à jour de logiciels comptent de plus en plus de correctifs, comme on l’a vu récemment chez Apple (avec iOS 26.6 et macOS 26.6) et chez Microsoft (avec Windows 11). C’est le cas aussi des navigateurs web.
Chrome corrigé en continu
Mozilla a tressé des lauriers aux modèles IA pour leur capacité à débusquer des vulnérabilités dans Firefox. Google en fait désormais de même dans ce billet où l’on apprend que les versions 149 et 150 de Chrome ont bouché rien moins que 1 072 failles de sécurité, soit davantage que les 23 versions précédentes majeures du logiciel (!).
Ces volumes impressionnants sont dictés par la nécessité : si les défenseurs bénéficient des capacités de l’IA pour détecter des bugs, c’est le cas aussi des attaquants. Il ne suffit donc plus de trouver les failles et de les corriger : il faut aussi acheminer les correctifs jusqu’aux utilisateurs avant que les adversaires ne prennent les devants.
Les correctifs sont d’abord intégrés à la branche principale de Chromium, ils deviennent donc visibles dans le code source public. En suivant le cycle normal de développement, ces correctifs peuvent mettre plusieurs semaines à arriver dans la version stable de Chrome. Durant ce délai, des attaquants peuvent analyser le code public et tenter de l’exploiter, c’est le « patch gap ».
Pour réduire ce délai, Google peut extraire un correctif de la branche principale pour le réintégrer directement dans la branche de la version stable du navigateur. Le correctif n’attend donc pas nécessairement la prochaine grande révision, il peut être distribué dans une mise à jour intermédiaire. La procédure dépend en fait de la gravité de la faille.
À partir de la version 153 de Chrome (le 8 septembre), Google va mettre en ligne des versions majeures de son navigateur toutes les deux semaines – à l’image d’Edge, au passage –, entrecoupées par une livraison de correctifs hebdomadaire. Sans attendre, l’entreprise annonce déjà son intention de fournir deux mises à jour de sécurité chaque semaine, afin de raccourcir le délai pour les correctifs urgents.
Tout ça c’est bien gentil, mais encore faut-il que l’utilisateur redémarre Chrome pour installer les mises à jour… Ce dernier a « des raisons tout à fait compréhensibles de repousser le redémarrage de Chrome », convient Google. Le processus peut en effet interrompre un travail en cours, il doit être effectué entre deux tâches, et il « constitue rarement une priorité immédiate ».
Le circuit classique d’un bug dans Chrome. Image : Google
C’est la raison pour laquelle Google développe un système de « correctif dynamique » qui mettra à jour le logiciel sans le redémarrer complètement. « Chrome pourra remplacer à la volée, l’un après l’autre, certains processus d’arrière-plan – comme ceux chargés du rendu ou du processeur graphique – par leurs versions mises à jour », détaille l’entreprise. Elle étudie également les moyens de restaurer les sessions de manière « parfaitement transparente », y compris dans les cas les plus complexes en enregistrant plus d’informations en local.
Google cherche également à repérer les moments les plus appropriés pour redémarrer Chrome. La version 150 du navigateur pour macOS tire ainsi profit d’une particularité du système d’exploitation : les logiciels continuent de tourner en tâche de fond même après la fermeture de toutes leurs fenêtres. Quand une mise à jour de Chrome est en attente alors qu’aucune fenêtre n’est ouverte, il redémarre automatiquement.
Gemini part à la chasse aux failles
Dans son billet, Google détaille son utilisation de l’IA pour la détection des bugs. En début d’année, l’entreprise a développé un harnais d’agents IA basés sur Gemini… avec une découverte surprise à la clé : une vulnérabilité permettant à un moteur de rendu compromis de sortir du bac à sable de Chrome pour lui faire lire des fichiers locaux. Cela faisait 13 ans qu’elle était présente dans le code.
Depuis, Google a ajouté à son arsenal le support d’autres modèles, aussi bien propriétaires qu’à poids ouverts. Le tout s’est déroulé dans des conditions de sécurité strictes pour éviter que les agents n’aillent faire les zazous sur internet. Il analyse uniquement le code source au repos, sur des machines dépourvues d’accès à internet, dans un environnement dédié à ce type d’analyses. Des limites sont également mises en place pour les modifications du système en local et l’accès à des fichiers hors des répertoires autorisés.
La détection de failles avec l’IA complète les systèmes plus traditionnels comme le fuzzing, qui consiste à bombarder un logiciel de données inattendues pour provoquer des erreurs. Cette technique reste très efficace pour repérer des bugs liés à des interactions complexes entre différentes parties du code, ou à une combinaison d’opérations apparemment sans rapport.
Et bien sûr, le bug bounty de Chrome est toujours en place pour récompenser les trouvailles des chercheurs en sécurité. Google a d’ailleurs relevé une hausse des rapports de bugs dans toutes les catégories : au mois de mars, la société en a reçu davantage que durant tout 2025.
La détection des failles est une chose, les trier en fonction de leur gravité et les corriger en sont d’autres. Là aussi, l’IA est mise à contribution, d’abord pour distinguer le bon grain de l’ivraie. Là où l’examen d’un rapport demandait auparavant de 5 à 30 minutes (ou plus encore selon la complexité), le système filtre les doublons et les signalements qui ne présentent aucun intérêt. Il tente ensuite de reproduire les bugs, ajoute des informations (gravité, date d’apparition), puis les transmet automatiquement à l’équipe concernée.
Google estime que ce dispositif fait gagner « plusieurs centaines d’heures de travail chaque mois ». Quant à la production des correctifs, elle est également automatisée par IA. Des agents planchent sur les solutions possibles, tandis qu’un autre les « évalue » façon revue de code. D’autres rédigent et vérifient les tests sur les différentes plateformes prises en charge par Chrome. Les développeurs gardent la main sur le résultat final, mais selon les estimations de Google, ces outils font gagner « jusqu’à plusieurs semaines ».
Des résultats spectaculaires donc, et qui peuvent effrayer avec ce nombre de correctifs très élevé. Google se veut rassurante : « L’augmentation du nombre de bugs découverts et corrigés n’est pas un signe d’échec. Chaque faille supprimée prive les attaquants d’un point d’appui supplémentaire ». Sa vision à long terme est un Chrome protégé en permanence, « sans perturber l’utilisateur ».
Connexion
