Mais aussi le CyberToi et finalement le CyberNous

La cybersécurité doit être une préoccupation de chacun, à chaque instant. Cela demande de la prudence et de la prévention. Il faut en parler avec les plus jeunes pour les sensibiliser. Cela tombe bien, c’est le Cybermoi/s européen, avec de nombreuses ressources et conférences mises à disposition.

Comme chaque année depuis plus de dix ans, le mois d’octobre est dédié à la cybersécurité en Europe, à travers le Cybermois ou Cybermoi/s (la première édition date de 2012). On parle aussi parfois de l’ECSM ou European CyberSecurity Month, qui a son site dédié.

Profitez du Cybermoi/s pour parler de la cybersécurité en famille

Pour cette 12ᵉ édition, le thème principal choisi par l’Agence de l’Union européenne pour la cybersécurité (ENISA, qui fête pour sa part ses 20 ans) est « la fraude par ingénierie sociale auprès des jeunes via l’intelligence artificielle ». Comme toujours, de nombreuses manifestations sont organisées un peu partout. Cybermalveillance propose un agenda sur son site et vous pouvez signaler d’autres manifestations si besoin.

À cette occasion, l’ANSSI propose un Cyber Quiz Famille (c’est la troisième édition) avec une dizaine de questions et quelques cadeaux à gagner par tirage au sort. Rien de compliqué, mais c’est effectivement l’occasion de le faire en famille et d’ouvrir la discussion sur les sujets de la cybersécurité auprès des jeunes. Une discussion ouverte peut leur faire comprendre qu’elle est l’affaire de tous et qu’il ne faut pas hésiter à demander de l’aide.

La journée de lancement du Cybermoi/s 2024 est prévue demain, avec une conférence en direct de l’Assemblée nationale, retransmise sur cette page. Le thème principal est « la cybersécurité au service de la souveraineté et de la démocratie », avec trois tables rondes durant la journée et de nombreux intervenants.

L’intelligence artificielle peut aussi aider à piéger

Comme le rappelle Interpol, la fraude par ingénierie sociale « est un terme générique qui désigne les escroqueries orchestrées par les criminels qui abusent de la confiance d’une personne afin d’obtenir de l’argent ou des informations confidentielles leur permettant de commettre une autre infraction ». Le domaine est large, d’autant plus maintenant que les personnes malintentionnées peuvent utiliser l’intelligence artificielle (générative) pour les « aider » dans leur tâche.

Si l’ENISA cible les jeunes, les arnaqueurs utilisent parfois indirectement les enfants pour leurs actions. Plusieurs cas ont été recensés de personnes malintentionnées tentant de récupérer des rançons auprès de parents en faisant croire à un enlèvement, via un deepfake audio imitant la voix de leur enfant. Premier réflexe : appelez-le directement pour savoir s’il va bien.

Dans d’autres cas, la voix est aussi utilisée pour faire croire que l’on parle avec une personne de sa famille en difficulté et qui a besoin d’argent. Pour les parents, il est parfois plus difficile de faire la part des choses dans ce genre de situation et d’avoir les bons réflexes face à ce qu’on pense être la voix de son enfant.

Un sondage sur la cybersécurité

Cybermalveillance dresse un état des lieux des connaissances des menaces par les Français : « 63 % des sondés considèrent être suffisamment sensibilisés et informés sur les risques d’Internet. 8 Français sur 10 déclarent ainsi savoir ce qu’est un spam et 6 Français sur 10 sont familiers avec les termes d’hameçonnage et de phishing ». C’est plus compliqué pour les deepfakes (27 %), rançongiciels (26 %) ou smishing par SMS (7 %).

Et les Français semblent aussi appliquer des règles basiques sur la sécurité : « 85 % des sondés déclarent faire des vérifications avant d’acheter ou de payer sur internet et 8 Français sur 10 indiquent faire régulièrement des mises à jour des appareils et applications sur leur PC ». Face à une tentative de phishing, « 50 % des sondés […] n’ont pas donné suite et ne sont donc pas tombés dans le piège, 25 % expliquent s’être débrouillés seuls pour régler le problème potentiel ».

On pourrait se dire que la situation n’est pas si catastrophique, mais la réalité semble différente selon le sondage : « 61 % des personnes interrogées déclarent avoir été victimes d’au moins une cybermalveillance durant l’année écoulée ». 24 % affirment « avoir été touchés par un piratage de compte en ligne (messagerie, réseaux sociaux, banque…) ». Et pour 22 % des victimes de cyberarnaques, cela s’est traduit par une perte financière

La distinction par catégorie d’âge met en avant une forte disparité des sondés : « 43 % des 18 - 34 ans
déclarent avoir fait des recherches et/ou trouvé des réponses sur internet par eux-mêmes, contre 26 % des 35 - 54 ans et 18 % des 55 ans et plus ». Un quart des 25 - 34 ans disent avoir déposé plainte, contre seulement 11 % des 55 ans et plus.

L’étude a été réalisée par Ipsos.Digital pour Cybermalveillance.gouv.fr, sur un échantillon de 3 100 français de 18 à 75 ans.

Des guides et fiches prévention à foison

Cybermalveillance propose à cette occasion près d’une vingtaine de fiches de prévention. Il y en a pour tous les gouts ou presque : de la fraude à la carte bancaire, aux virus, en passant par le chantage à l’ordinateur ou à la webcam prétendument piratés et aux différentes techniques de spam.

Il y a également de nombreuses fiches de bonnes pratiques pour protéger ses applications mobiles, sécurisé ses réseaux sociaux, ses mots de passe, ses sauvegardes, etc. Une fiche regroupe aussi les « 10 mesures essentielles » pour assurer votre cybersécurité.

Des règles de base qu’il est toujours bon de rappeler : utilisez des mots de passe robustes, appliquer les mises à jour, utilisez un antivirus, sauvegardez vos données, téléchargez des applications depuis des sites officiels, méfiez-vous des messages inattendus (ou promettant monts et merveilles), vérifiez les sites avant d’acheter, maitriser vos réseaux sociaux, séparez les usages perso et pro et évitez de vous connecter à des réseaux Wi-Fi publics ou inconnus, vous ne savez jamais vraiment ce qu’il y a derrière.

De nombreuses vidéos sont également disponibles sur la chaine YouTube de Cybermalveillance.

• Toute la documentation pour le Cybermoi/s 2024

Rappel toujours utile : choisissez bien vos mots de passe

Dans le numérique, la sécurité informatique commence bien souvent par une bonne gestion des mots de passe : ils doivent être suffisamment robustes pour résister à des attaques et unique (on ne réutilise pas son mot de passe sur d’autres sites). Les gestionnaires de mots de passe sont une bonne solution, à condition de bien choisir son mot de passe maitre.

La CNIL et l’ANSSI ont mis à jour leurs recommandations sur les phrases de passe en 2021. Depuis maintenant plusieurs mois, les clés d’accès ou passkeys prennent de l’importance et permettent de se débarrasser des mots de passe.

• Choisir un bon mot de passe : les règles à connaître, les pièges à éviter

C’est d’autant plus important que, même en 2024, des sites continuent de faire n’importe quoi et des fuites arrivent régulièrement… parfois sur des mots de passe pas suffisamment chiffrés et/ou salés. Pensez aussi à activer la double authentification autant que possible, cela permet de limiter les risques dans une grande majorité des cas.

• [Édito] Mots de passe, double authentification : grrrrr… il est temps d’agir !

Raymond Hill, le développeur ayant développé la célèbre extension uBlock Origin, est en colère contre Mozilla. Dans une discussion sur son dépôt GitHub, il explique avoir retiré la version Lite de son extension de la boutique officielle de Mozilla.

La raison ? Un signalement de Mozilla pour l’ensemble des versions d’uBlock Origin Lite : l’extension violait ses règles. Lors de la validation humaine sur la boutique, les examinateurs ont indiqué que l’extension collectait des données utilisateurs sans informer ces derniers. En outre, l’extension était accusée de contenir du « code minifié, concaténé ou autrement généré par une machine ». Enfin, les examinateurs reprochaient à Hill de ne pas avoir inclus de politique de vie privée.

Le développeur, dans une longue réponse, pointe le comportement « incompréhensible et hostile » de Mozilla. Il signale ainsi que la politique de vie privée a toujours été là, qu’aucun code minifié ou autre n’est présent et qu’aucune collecte de données n’est réalisée.

Mozilla s’est ravisée et a averti l’auteur qu’il s’agissait d’une erreur. Mais le mal est fait, pour Raymond Hill. « Il ne faut que quelques secondes à quiconque ayant une compréhension même basique du JavaScript pour voir que les problèmes soulevés n’ont aucun sens », a-t-il indiqué.

Il souligne également la décision « absurde » de Mozilla : la désactivation de toutes les versions d’uBlock Origin Lite, à l’exception de la plus ancienne. Une action qui n’a aucun sens, selon lui, puisqu’elle laissait en ligne une version « gravement obsolète ». Il l’a donc désactivée lui-même.

L’extension uBlock Origin Lite est donc pour l’instant auto-hébergée sur GitHub. Raymond Hill refuse de la remettre sur la boutique officielle. Il évoque une succession de problèmes, dans laquelle il voit une hostilité délibérée. Il a également indiqué que plus aucune autre version Lite ne serait développée pour Firefox.

Signalons que l’on ne parle bien ici que de la version Lite. Comme nous l’avions indiqué dans un précédent article sur la fin du Manifest v2, cette mouture particulière est là pour assurer la compatibilité avec la v3. Elle est moins efficace dans le blocage publicitaire, mais est plus légère dans son fonctionnement. L’extension uBlock Origin, elle, est toujours présente sur la boutique de Mozilla et continuera de fonctionner normalement. Contrairement à Chrome, Firefox prendra en charge plus longtemps le Manifest v2.

• Chrome enterre le Manifest V2, les bloqueurs de publicité amputés sur l’autel de la sécurité

Bis repetita placent

Epic Games relance une bataille judiciaire à l’encontre de Samsung et de Google. L’éditeur de Fortnite accuse les deux partenaires de volontairement entraver le parcours d’installation de son jeu sur Android, au motif que ce dernier n’est pas distribué par le Google Play Store. Il cible tout particulièrement les écrans d’alerte de la fonction Auto Blocker, activée par défaut sur les smartphones Samsung.

Google et Samsung auraient-ils sciemment cherché à enrayer l’installation d’applications tierce partie sur Android, pour défendre le monopole historique du Google Play Store ?

C’est l’accusation formulée par Epic Games, l’éditeur du célèbre Fortnite, qui a annoncé lundi le dépôt d’une plainte auprès d’un tribunal de Californie. Epic Games, qui a lancé mi-août son propre Store sur iOS (en Europe uniquement, du fait du DMA) et Android (dans le monde), y sollicite une injonction visant à interdire à Samsung et Google de poursuivre leurs pratiques anticoncurrentielles, une décision caractérisant le caractère illégal de ces dernières, ainsi bien sûr que le versement de copieux dommages et intérêts.

La fonction Auto Blocker en question

Epic Games, qui s’est déjà attaqué à Apple et Google pour soupçons de pratiques anticoncurrentielles, fonde cette fois sa plainte sur une fonctionnalité implémentée par Samsung au sein de One UI 6 (Android version 14). Baptisée Auto Blocker, elle vise à prévenir l’utilisateur lorsque celui-ci essaie d’installer, sur son smartphone, des applications provenant de sources « non autorisées ». Elle affiche pour ce faire une notification d’avertissement, qu’Epic qualifie dans sa communication de « scare screen ». Autrement dit, un « écran de frayeur », qui n’aurait pour objet que de dissuader l’utilisateur de poursuivre sa démarche.

Lancée par Samsung en octobre 2023, la fonction Auto Blocker fonctionnait au départ en mode « opt-in » : il fallait que l’utilisateur demande manuellement son activation. Mais, d’après Epic, Samsung aurait changé ce comportement en juillet dernier, un mois avant le lancement du Epic Games Store, passant d’un consentement explicite à un « opt-out », une activation par défaut. « L’activation par défaut d’Auto Blocker entraîne un processus particulièrement fastidieux, de 21 étapes, pour télécharger une application en dehors du Google Play Store ou du Samsung Galaxy Store », estime Epic Games, captures d’écran à l’appui. En pratique, quatre actions suffisent toutefois pour désactiver Auto Blocker.

Dans sa plainte, la société affirme qu’il n’existe pas aujourd’hui de voie permettant à un éditeur tiers de faire « autoriser » son kiosque d’applications. Elle accuse également Samsung d’entretenir une confusion, en évoquant une notion de sécurité dans ses messages d’alerte, alors que seule la provenance de l’application entrerait en compte dans l’activation, ou non, des écrans d’Auto Blocker. « Nous soutenons tous les efforts honnêtes de lutte contre les logiciels malveillants, mais dans ce cas, l’objectif déclaré de protection de la sécurité n’est qu’un prétexte », soutient Tim Sweeney, CEO d’Epic Games.

Démontrer une collusion entre Google et Samsung

Epic, qui a retiré en 2020 ses jeux phares des kiosques applicatifs d’Apple et de Google, mène depuis une intense bataille judiciaire contre ces deux géants, qu’il accuse de profiter de leur position dominante pour imposer des commissions allant jusqu’à 30 % aux développeurs d’application. Fin 2023, l’éditeur de Fortnite a obtenu gain de cause face à Google, au terme d’un procès très médiatisé, qui a mis en lumière plusieurs accords confidentiels susceptibles de nourrir les accusations de comportements anticoncurrentiels, par exemple entre Google et Spotify.

Dans sa plainte du 30 septembre, Epic Games fait directement référence à son précédent procès contre Google. Le studio recycle d’ailleurs certaines preuves versées au dossier, pour démontrer cette fois l’existence d’une collusion entre Google et Samsung. Epic pointe du doigt l’accord de partage de revenus conclu entre les deux partenaires. « Depuis cet accord, Samsung n’a conclu aucun accord exclusif avec les principaux éditeurs de jeux pour que ces derniers lancent leurs titres sur le Galaxy Store, n’a pas fait jouer la concurrence en offrant un meilleur taux que 30 %, et n’a pris aucune des mesures qui lui auraient permis de concurrencer sérieusement le Google Play Store », affirme l’éditeur de Fortnite qui, comme à son habitude, diffuse très largement la procédure sur ses canaux de communication et ses réseaux sociaux.

Google a de son côté répondu dans la nuit de lundi à mardi par l’intermédiaire de Dave Kleidermacher, son vice-président en charge de la sécurité et de la vie privée. « Le dernier procès intenté par Epic est une démarche dangereuse et sans fondement. Google n’a pas demandé à Samsung de créer sa fonction Auto Blocker », écrit-il sur LinkedIn.

« Bien qu’Android autorise le téléchargement depuis des sources tierces, Google et la communauté de la sécurité avertissent les utilisateurs depuis des années des risques réels associés au téléchargement d’applications directement depuis le Web », ajoute-t-il. Il affirme que les gouvernements et autorités du monde entier réclament des directives dédiées à cette problématique.

« C’est pourquoi Google propose ses propres fonctionnalités de sécurité, comme Google Play Protect, qui vérifie la présence d’applications nuisibles sur l’appareil d’un utilisateur, quel que soit l’endroit où l’application a été téléchargée. Les fabricants d’appareils Android sont libres d’innover et de concevoir des fonctionnalités de sécurité supplémentaires pour leurs appareils. Il est délibérément trompeur de faire passer cela pour une question d’accès à un jeu ; il s’agit de la sécurité des utilisateurs. Et le procès intenté par Epic place ses intérêts commerciaux au-dessus de la protection des utilisateurs », conclut-il.

Free vient d’annoncer du changement pour ses offres groupées fixe et mobile. Désormais, « les abonnés Freebox peuvent ainsi bénéficier de 4 Forfaits Free 5G à 9,99 euros par mois pendant 1 an, puis 15,99 euros par mois ». La réduction est donc de 10 euros par mois la première année, puis 4 euros ensuite, dans la limite de quatre forfaits par client Freebox.

Free précise que les « avantages Free Family sont proposés à tous les nouveaux abonnés Freebox (Freebox Révolution Light, Freebox Pop, Freebox Ultra Essentiel et Freebox Ultra) ainsi qu’aux abonnés Freebox existants pour toute nouvelle souscription d’un Forfait Free 5G à compter du 1ᵉʳ octobre 2024 ».

Les abonnés Freebox Pop gardent toujours leur premier Forfait Free 5G à 9,99 euros par mois sans limite de durée et peuvent donc en avoir trois de plus à 9,99 euros par mois, mais pendant un an seulement. Ensuite, le prix passera à 15,99 euros par mois.

Jusqu’à présent, les conditions différaient suivant les forfaits. Les abonnés Freebox Ultra avaient droit à une remise de 10 euros par mois pendant un an (soit 9,99 euros pour le forfait Free 5G), puis le tarif passait à 15,99 euros par mois. Pour les autres Freebox, c’était 15,99 euros par mois pendant un an, puis 19,99 euros par mois.

• Freebox Pop : fibre à 5 Gb/s et boîtier Android TV pour 39,99 €, forfait 4G illimitée à 9,99 €
• Freebox Ultra : 8 Gb/s symétrique, Wi-Fi 7, Canal+, Disney+… à partir de 49,99 euros par mois

Microsoft vient de lancer coup sur coup deux produits majeurs dans sa stratégie Copilot de conquête par l’IA. D’abord, Copilot pour OneDrive, que l’on trouve dans la version web du service.

Comme toujours avec l’assistant, il est question de productivité et de gain de temps. On peut ainsi lui demander de créer des résumés sur un ou plusieurs documents (jusqu’à cinq en même temps), de comparer les différences entre plusieurs versions (là encore jusqu’à cinq à la fois) et de les ajouter dans un tableau, de répondre à des questions complexes sur les fichiers présents, de générer des idées sur la base des documents déjà présents, etc.

L’assistant réclame un abonnement Copilot pour être utilisé, aucune version gratuite n’étant proposée dans OneDrive. Le déploiement est en cours et tous les comptes n’affichent donc pas encore l’assistant.

Autre changement, plus important d’ailleurs : Microsoft démarre le déploiement d’une nouvelle interface pour son Copilot en ligne. Plusieurs médias américains – dont Neowin et Windows Latest – mettent en avant plusieurs points forts. La nouvelle version serait ainsi nettement plus performante, plus agréable et plus pratique. Beaucoup plus en phase, surtout, avec les dernières évolutions de ChatGPT et Gemini en matière d’expérience utilisateur.

Ce Copilot « 2.0 » demande le nom de la personne avant de formuler des réponses. Il prend également en charge les thèmes clairs et sombres. Les requêtes peuvent être basées sur du texte, des images ou – et c’est une nouveauté – de la voix. Quatre voix sont disponibles (Meadow, Wave, Grove et Canyon) pour la réponse, mais d’autres doivent être ajoutées par la suite. L’intégralité de l’interface est basée sur des cartes.

La nouvelle fonction Copilot Daily est un ajout majeur. Il s’agit d’une sorte de podcast généré automatiquement à partir des sources d’intérêt de l’utilisateur. Dans une capture, on peut lire d’ailleurs qu’un avertissement est présent pour indiquer que le podcast peut contenir des erreurs. Difficile d’en dire davantage pour l’instant, car cette nouvelle version de Copilot n’est a priori déployée qu’au Brésil et en Inde pour l’instant.

Selon Windows Latest, cette nouvelle version est basée sur ChatGPT-4. Certaines capacités sont pour le moment absentes, notamment les plugins. D’autres, supprimées de la première version, comme la possibilité d’envoyer des PDF, ne sont toujours pas revenues. Selon Tom Warren de The Verge, il pourrait s’agir de la refonte qui servira de base aux nouvelles applications mobiles.

Comme plusieurs autres régulateurs, la Competition and Markets Authority (CMA) du Royaume-Uni a lancé des enquêtes sur les investissements massifs des géants du Net dans les sociétés spécialisées dans l’IA générative.

La CMA s’est ainsi penchée sur les « partenariats » entre Alphabet et Amazon avec Anthropic. Dans le second cas, l’enquête est désormais close. L’autorité « a décidé que le partenariat d’Amazon avec Anthropic ne relevait pas des dispositions relatives aux fusions au titre de l’Enterprise Act 2002 ». Elle motive sa décision dans ce document.

Amazon a pour rappel investi 4 milliards de dollars dans Anthropic. Cette manne financière est assortie de plusieurs autres éléments, notamment « un accord non exclusif pour la fourniture de calcul par AWS à Anthropic, comprenant l’utilisation des puces Trainium et Inferentia », « un engagement non exclusif à long terme d’Anthropic à fournir un accès à ses modèles sur Amazon Bedrock », etc.

Les deux entreprises se félicitent de cette conclusion, comme le rapporte l’Usine Digital. Pour un porte-parole d’Amazon, la CMA « reconnaît son absence de compétence concernant cette collaboration ». Chez Anthropic, on rappelle que la société est « indépendante et nos partenariats stratégiques et relations avec les investisseurs ne diminuent en rien notre indépendance en matière de gouvernance d’entreprise ou notre liberté de partenariat ».

Une enquête similaire a été lancée sur Google, mais ouverte plus tard (le 30 juillet). Elle est toujours en cours si l’on en croit la page dédiée sur le site de la CMA.

Depuis maintenant un mois, la France est régulièrement la cible de cyberattaques. De nombreuses boutiques et revendeurs en ligne en ont fait les frais avec des fuites de données. Dernier en date : le site Meilleurtaux, avec une longue liste de données personnelles dans la nature.

Via un communiqué des plus succincts, l’Agence France-Presse (AFP) explique être la cible d’une attaque sur son système informatique. Ses équipes sont évidemment « mobilisées avec le soutien et l’expertise de l’Agence nationale de la sécurité des systèmes d’information (ANSSI) ».

« Les autorités compétentes ont été saisies en France » et « l’incident est en cours de qualification et de traitement. La rédaction et tous les services de l’AFP continuent à assurer la couverture de l’actualité dans le monde entier ».

Nos confrères ne donnent aucune précision quant à la motivation des pirates ni sur leur identité. L’annonce a été faite samedi, sans mise à jour depuis.

Ce lien nous a été proposé par aware2. Il s’agit en l’occurrence d’un replay de France Télévision sur une mini-série documentaire en six épisodes. Les réseaux sociaux y occupent une place importante. La lecture des six épisodes d’une trentaine de minutes chacun nécessite la création d’un compte (gratuit).

« Le 7 mars 2020, Eloi Rolland, âgé de 18 ans alors, disparaît mystérieusement sur la route de Piha Beach, en Nouvelle-Zélande. Quelques jours plus tard, le pays ferme ses frontières en raison de la pandémie mondiale. Le matin même de sa disparition, Eloi a posté un carré noir sur sa page Facebook. Il n’en faut pas beaucoup plus aux enquêteurs locaux pour conclure au suicide du jeune Français. […] Des messages recueillis sur la page dédiée à la disparition d’Eloi remettent en question toute l’enquête. Une plongée dans les réseaux sociaux d’Eloi raconte une tout autre histoire ».

• Eloi, en quête d’un disparu

Silicon Valley 1 - Hollywood 0

Le gouverneur de la Californie, Gavin Newsom, a déposé un véto dimanche 29 septembre contre le projet de loi qui devait réguler l’IA dans son État, qui héberge à la fois la Silicon Valley et Hollywood. Le texte visait les modèles les plus importants et prévoyait notamment un interrupteur d’urgence pour désactiver les systèmes en cas de problème ingérable, ainsi que des protocoles de tests et une protection des lanceurs d’alertes.

Le projet de « loi sur l’innovation sûre et sécurisée pour les modèles d’intelligence artificielle d’avant-garde » (ou SB 1047), a fait l’objet d’intenses campagnes de lobbying en Californie ces dernières semaines, tant du côté des pour que des contre. Le gouverneur de l’État, Gavin Newsom, y a finalement opposé son véto (PDF) à la veille de la date limite.

SB 1047 prévoyait d’imposer certaines obligations aux créateurs de modèles. Elle les aurait rendus responsables devant la loi de l’État en cas de « risque déraisonnable que le modèle ou ces dérivés cause ou permette matériellement un dommage critique ». Le texte californien n’était pas aussi complet que l’AI Act européen, mais posait quelques jalons de régulation.

Pour une régulation, mais pas celle-là

Le gouverneur ne veut pas envoyer un message anti-régulation, mais critique le projet comme ciblant seulement et de façon inappropriée selon lui les grands modèles d’IA générative :

« Bien que bien intentionné, le projet de loi SB 1047 ne tient pas compte du fait qu’un système d’IA est déployé dans des environnements à haut risque, qu’il implique une prise de décision critique ou l’utilisation de données sensibles. Au lieu de cela, le projet de loi applique des normes strictes même aux fonctions les plus élémentaires – du moment qu’un grand système les déploie. Je ne pense pas qu’il s’agisse là de la meilleure approche pour protéger le public des menaces réelles posées par la technologie », affirme-t-il dans sa lettre justifiant le véto.

Gavin Newsom ajoute que « des modèles plus petits et spécialisés pourraient s’avérer tout aussi dangereux, voire plus dangereux, que les modèles visés par la loi SB 1047, au risque de freiner l’innovation même qui alimente les progrès en faveur du bien public ».

« Nous ne pouvons pas nous permettre d’attendre qu’une catastrophe majeure se produise avant de prendre des mesures pour protéger le public », affirme le gouverneur. Cependant, « pour assurer la sécurité du public, nous devons nous contenter d’une solution qui n’est pas fondée sur une analyse empirique de la trajectoire des systèmes et des capacités de l’IA. En fin de compte, tout cadre visant à réglementer efficacement l’IA doit suivre l’évolution de la technologie elle-même ».

Les directions de startups de la Silicon Valley contre la loi

Alors qu’Elon Musk avait étonné jeudi dernier les observateurs en se prononçant pour cette régulation, la plupart de la Silicon Valley s’était positionnée contre, à l’instar d’OpenAI. Celle-ci poussait notamment pour une réglementation au niveau national plutôt qu’un patchwork de lois étatiques.

Chez Meta, le ton était aussi à la critique du projet. Yann Le Cun, responsable scientifique dans l’entreprise, a d’ailleurs rapidement salué la « décision judicieuse » du gouverneur. Il avait relayé plusieurs argumentaires sur X contre le projet de loi.

Du côté d’Anthropic, après avoir critiqué la loi, l’entreprise indiquait dans une lettre (PDF) plus trop savoir où elle en était après les différentes modifications du texte : « selon notre évaluation, le nouveau projet de loi SB 1047 est considérablement amélioré, au point que nous pensons que ses avantages l’emportent probablement sur ses coûts. Toutefois, nous n’en sommes pas sûrs et certains aspects du projet de loi nous semblent encore préoccupants ou ambigus ».

L’ancienne présidente de la Chambre des représentants des États-Unis, Nancy Pelosi, s’était aussi prononcée contre ce projet de loi : « Nous voulons que la Californie soit à la pointe de l’IA en protégeant les consommateurs, les données, la propriété intellectuelle et bien d’autres choses encore, mais le projet de loi SB 1047 est plus nuisible qu’utile à cette fin ».

Quelques têtes d’ingénieurs et de chercheurs qui dépassent

Certains ingénieurs et chercheurs en IA étaient quand même sortis du lot pour soutenir le texte. Le chercheur et ancien salarié de Google Brain, Geoffrey Hinton, avait notamment initié un texte signé par plusieurs employés de la Silicon Valley :

« Nous pensons que les modèles d’IA les plus puissants pourraient bientôt présenter des risques graves, tels qu’un accès élargi aux armes biologiques et des cyberattaques sur les infrastructures critiques. Il est possible et approprié pour les entreprises pionnières de l’IA de tester si les plus puissants modèles peuvent causer de graves dégâts, et pour ces entreprises de mettre en œuvre des mesures de protection raisonnables contre de tels risques ».

Hollywood pour une régulation, pour le bien de l’humanité

Du côté de Hollywood, 125 « grands noms » du milieu s’étaient mobilisés en publiant une lettre ouverte. « Nous croyons fermement au potentiel éblouissant de l’IA à être utilisée pour le bien. Mais nous devons aussi être réalistes quant aux risques », affirmaient-ils. Cette lettre se défendait de tout corporatisme en expliquant que « ce projet de loi ne vise pas à protéger les artistes, mais à protéger tout le monde ».

Si le gouverneur Gavin Newsom a posé son véto sur ce texte, il a souligné avoir demandé à un de ses services de travailler sur « l’évaluation des menaces potentielles posées par l’utilisation de l’IA générative » et leurs conséquences sur les infrastructures critiques en Californie, « y compris celles qui pourraient entraîner des pertes massives ».

La récente mise à jour 7.1 du client de virtualisation VirtualBox a introduit quelques régressions. Parmi elles, un souci de performances dans les machines virtuelles Windows, qui s’exécutent moins rapidement que prévu. La nouvelle mouture 7.1.2 règle le problème.

D’autres corrections sont présentes, dont une sur un problème qui nous avait affecté lors de notre prise en main d’Ubuntu 24.10 : la case liée à l’accélération graphique ne pouvait pas être cochée.

• Ubuntu 24.10 fait sa rentrée : noyau 6.11, GNOME 47, Wayland pour tous et APT 3.0

Parmi les autres soucis éradiqués, signalons des écrans noirs apparaissant parfois dans les machines virtuelles Windows, l’impossibilité parfois de charger des instantanés créés sur les versions 7.0.x de VirtualBox, des artefacts visuels avec l’accélération 3D ou encore la disponibilité de cette dernière pour les machines virtuelles basées sur l’architecture Arm.

• Télécharger VirtualBox

Dans un développement étonnant, la FreeBSD Foundation annonce un investissement de 750 000 dollars dans le support des ordinateurs portables. En collaboration avec son partenaire matériel Quantum Leap Research, ainsi qu’avec AMD, Dell et Framework, l’investissement grimpe même à un million de dollars.

« Alors que FreeBSD excelle dans les environnements serveurs et embarqués, son support des ordinateurs portables est à la traîne, en particulier dans des domaines essentiels comme le Wi-Fi, le Bluetooth, la suspension/reprise, les micros numériques, les boutons matériels pour les contrôles audio et l’entrée/sortie », indique le communiqué, publié vendredi.

Plusieurs domaines prioritaires ont été identifiés : tout ce qui touche au sans fil, à la gestion de l’alimentation, au support des cartes graphiques, aux améliorations audio (routage, commutation du casque…), et enfin au support des boutons spéciaux, dont le pavé tactile.

En plus de ces domaines, que la fondation range dans la catégorie « qualité de vie », FreeBSD doit également améliorer son scheduler pour supporter les cœurs hétérogènes. C’est une caractéristique des processeurs modernes, qui mélangent des cœurs performants à d’autres, moins rapides, mais beaucoup plus efficaces énergétiquement.

FreeBSD doit devenir une alternative viable à Windows et Linux sur ce type de machine, insiste la fondation. Elle évoque même « un impératif stratégique » pour mener à une adoption plus large de FreeBSD. « Améliorer le support des ordinateurs portables encouragera plus de développeurs à adopter FreeBSD comme système d’exploitation principal, ce qui conduira à des contributions plus importantes au projet et favorisera la croissance de l’écosystème », ajoute la fondation.

Planning is lava

Microsoft prépare le retour de sa fonction Recall qui avait créé tant de remous à sa présentation. Piquée par l’avalanche de critiques, l’éditeur a retravaillé sa copie, apportant à la fonction une longue liste d’améliorations sur la sécurité. Celles-ci mettent d’autant mieux en évidence la gestion initiale du projet.

Recall est un journal d’activité. Présenté plus tôt dans l’année, il part d’une bonne idée : pouvoir fournir à l’utilisateur tout renseignement basé sur une activité passée. Vous vous souvenez avoir travaillé il y a plusieurs mois sur un rapport dont vous ne gardez que quelques vagues souvenirs ? Décrivez-le dans Recall et il le retrouvera.

Si le concept pouvait séduire une partie des utilisateurs, la réalisation a lourdement péché.

Une première version catastrophique

Pour fournir les résultats, Recall prend des captures d’écran toutes les quelques secondes pour en analyser le contenu, via un modèle d’IA spécifiquement entrainé. Les informations extraites sont placées dans une base de données. Ainsi, les requêtes interrogent cette base, permettant de présenter des résultats contextuels, captures d’écran à l’appui.

• Windows Recall : une surveillance locale et isolée, mais…

La première version de l’outil était cependant si mal préparée que de violentes critiques ont rapidement créé une polémique. Fustigé notamment par des chercheurs en sécurité, l’outil de Microsoft faisait peu de cas de la sécurité et du respect de la vie privée. Les informations étaient aisément accessibles depuis d’autres comptes sur la même machine et étaient stockées sous une forme facilement lisible.

Recall posait de sérieuses questions dans de nombreuses situations de types abusifs. Un mari voulant surveiller sa femme, un employé voulant voir ce qu’a fait un collègue ou plus généralement toute personne voulant plonger dans l’intimité d’une autre. Car Recall captait les informations dans tous les scénarios d’usage, y compris l’ouverture de sites particulièrement sensibles comme ceux des banques ou tout ce qui touche à la pornographie.

• La surveillance Windows Recall permet en l’état un pillage des données sensibles

Rapidement, Microsoft avait pris conscience qu’il fallait revoir sa copie. Des améliorations avaient été mises en place, notamment sur le stockage des données, le support des sessions de navigation privée, etc. Mais ce n’était pas suffisant. L’éditeur avait fini par annoncer le retrait de sa fonction et son retour en octobre dans une version remaniée. C’est cette nouvelle mouture qu’il a présentée vendredi soir.

De nombreuses améliorations pour la sécurité

Sans surprise, c’est la sécurité qui a reçu le plus de changements. Et ces derniers sont significatifs, comme Microsoft l’explique dans son billet de blog.

Premier changement, l’ensemble des traitements ayant lieu sur les captures d’écran et les processus sensibles sont déplacés dans une machine virtuelle, au sein d’une enclave sécurisée dont le chiffrement est assuré par la puce TPM. Microsoft assure que cette architecture met les données à l’abri des accès malveillants, car il faudrait un malware en espace noyau pour passer ces défenses.

En outre, tout accès aux données requiert une preuve d’authentification. Elle peut s’obtenir via Windows Hello (biométrie) ou avec le code PIN de la session. Même chose pour les modifications des paramètres sensibles dans Recall.

Toutes les informations stockées dans la base de données vectorielle sont chiffrées, là encore par des clés protégées dans l’enclave sécurisée (et donc la puce TPM). Les captures prises et leurs métadonnées associées (horodatage, texte de la barre de titre, durée d’utilisation…) ont chacune leur propre clé de chiffrement. Toutes les clés sont liées cryptographiquement à l’utilisateur.

De plus, Microsoft dit s’être assurée que Recall ne puisse fonctionner que sur les PC Copilot+ avec un certain nombre de fonctions actives par défaut : BitLocker, Device Encryption, TPM 2.0, sécurité et intégrité du code basées sur l’hyperviseur, Measured Boot et System Guard Secure Launch (si l’intégrité de la chaine de démarrage n’est pas complète, les clés de sécurité sont bloquées), et enfin la protection DMA du noyau.

Plus de contrôle sur la fonction

Tant qu’à faire, l’entreprise affine les réglages de sa fonction et lui ajoute d’importants paramètres. Premièrement, et surtout, Recall est en opt-in. Cela signifie que la question de son utilisation et de son activation sera posée à l’utilisateur. Comme les autres questions posées durant l’assistant de configuration initial de Windows 11, aucune réponse ne sera présélectionnée. De plus, la fonction pourra être désinstallée. Si c’est le cas après une période d’utilisation, toutes les données associées seront supprimées.

Deuxièmement, tout ce qui est effectué dans un navigateur au cours d’une session privée n’est pas sauvegardé. Cette fonction est compatible avec tous les principaux navigateurs. On peut également filtrer des applications ou sites web spécifiques afin qu’ils n’apparaissent jamais dans Recall.

Troisièmement, de nouveaux paramètres permettent un plus grand contrôle sur ce qui est fait. On peut par exemple choisir la durée de conservation des contenus. Même chose pour l’espace disque alloué, mais ce réglage existait déjà. On peut aussi supprimer une plage de temps spécifique, tout le contenu d’une application ou d’un site, ainsi que l’historique des résultats après les recherches.

Enfin, un filtrage du contenu sensible est activé par défaut. Tout ce qui touche aux mots de passe, identifiants nationaux, numéros de cartes de crédit/paiement et autres doit être filtré par Recall. Cependant, Microsoft ne parle pas d’élimination totale : ce filtrage (basé sur la technologie maison Purview) « permet de réduire le nombre » de ces informations. On ne peut donc pas totalement compter dessus, et cette part d’incertitude pourrait faire la différence pour de nombreuses personnes.

À noter que lorsque Recall effectue des captures, une icône apparait maintenant dans la barre d’état système. En cliquant dessus, on peut interrompre l’opération pour mettre la fonction en pause.

Assez pour faire confiance ?

L’idée à la base de Recall n’est pas un problème dans l’absolu. Nous avons rencontré des personnes vivement intéressées par cette perspective : retrouver à peu près n’importe quoi issu d’une activité passée sur un ordinateur. Dans un cadre professionnel, la fonction peut effectivement permettre de remettre la main sur des informations précises quand on ne se souvient que de certains éléments de contexte, là où la recherche classique réclame davantage que l’on se rappelle d’un nom, ou au moins d’une partie.

De l’idée à la réalisation, il y avait cependant un gouffre. Il semble que les multiples améliorations portées par Microsoft à sa fonction puissent effectivement faire la différence. Mais la question demeure : pourquoi avoir présenté à la dernière conférence Build un Recall dont les implications en matière de sécurité et de vie privée n’avaient clairement pas été réfléchies ? Surtout dans un contexte où l’éditeur martèle régulièrement que la sécurité est devenue sa priorité absolue, au point de différer une fonction si nécessaire.

Microsoft clame « Recall est conçu avec la sécurité et la confidentialité à l’esprit », mais on imagine mal l’entreprise lancer une gamme de produits vulnérables et vendus comme tels. La firme assure cependant que l’équipe Microsoft Offensive Research Security Engineering (MORSE) a mené des tests de conception et de pénétration pendant plusieurs mois. Une société tierce aurait également été engagée pour réaliser un audit de sécurité.

Dans une interview à The Verge, David Weston, chargé de la sécurité des entreprises et des systèmes d’exploitation chez Microsoft, indique que le développement initial de Recall était bien placé sous l’égide de la Secure Future Initiative de l’entreprise. Mais il s’agissait d’un produit en avant-première, soumis a priori à un régime légèrement différent. La levée de boucliers aurait forcé l’éditeur à accélérer les modifications prévues. L’explication ne tient guère, car la nouvelle version présentée repose sur une architecture très différente.

Recall sera à nouveau proposée courant octobre, d’abord chez les testeurs Windows Insiders. Si Microsoft reste sur son idée, seules les personnes sur des PC Copilot+ pourront mettre la main dessus.

Le 2 septembre, la Cour suprême du Brésil confirmait la suspension du réseau social X. Une décision forte, après des mois d’opposition entre Elon Musk (patron du réseau social) et la plus haute instance judiciaire brésilienne. Nous avons déjà longuement détaillé les raisons de ce bras de fer.

• Suspension de X au Brésil : retour sur un bras de fer

En fin de semaine dernière, X affirmait avoir « répondu à toutes les exigences de la Cour suprême du Brésil et demandait la levée de sa suspension dans le pays », expliquait l’AFP en se basant sur les déclarations d’une source policière proche du dossier.

Vendredi, le juge Alexandre Moraes a refusé « de débloquer le réseau social et conditionné sa réactivation dans le pays au paiement de près d’1,7 million d’euros », ajoutent nos confrères. Ce montant est la combinaison de deux sanctions.

La première, pour avoir « ignoré pendant deux jours un ordre de désactiver un serveur qui lui avait permis de contourner temporairement son blocage le 18 septembre », quand bien même X avait expliqué que c’était la conséquence « involontaire et temporaire » d’un changement technique. La seconde, pour ne pas avoir nommé de représentant légal au mois d’août, avant la nomination à ce poste de Rachel de Oliveira Villa Nova.

Nous avons tenté d’accéder à X.com via un VPN au Brésil, sans succès. Notre connexion passait sans problème depuis d’autres pays d’Amérique latine, et depuis la France bien évidemment.

Atos a annoncé vendredi soir (.pdf) avoir recueilli le « très large soutien » de ses actionnaires et de ses créanciers financiers autour de son projet de plan de sauvegarde accélérée, dessiné début juillet. Fort de ce suffrage, validé par les administrateurs judiciaires en charge du dossier, le groupe informatique présentera son plan le 15 octobre prochain devant le tribunal de commerce de Nanterre.

La direction espère une décision favorable sous deux semaines, qui lui permettrait d’enclencher les principales manœuvres financières du plan. Celui-ci prévoit notamment la conversion en capital de 2,9 milliards d’euros de dette, sur les 4,8 milliards d’euros de créances qui étouffent aujourd’hui la trésorerie du groupe.

Les principaux créanciers du groupe acceptent par ailleurs de soutenir une nouvelle vague de financements. Réalisée sous forme de dette et d’apport au capital, elle doit permettre d’injecter entre 1,5 et 1,675 milliard d’euros dans les finances d’Atos. Elle intègre une augmentation de capital proposée avec maintien du droit préférentiel de souscription (DPS) aux actionnaires existants, qui se verront cependant massivement dilués à l’issue du processus.

« En parallèle, le groupe Atos a obtenu des financements intérimaires de la part de l’État, par l’intermédiaire du Fonds pour le Développement Économique et Social (FDES), de porteurs d’obligations et de créanciers bancaires, pour un montant total de 800 millions d’euros », indique le groupe dans la dernière version du document de présentation de son plan, datée du 16 septembre dernier (.pdf).

Le dossier des activités « stratégiques » d’Atos, dans la défense, la sécurité ou l’énergie, n’est pas couvert par ce projet de plan, mais il aurait lui aussi avancé. D’après Marianne, c’est finalement l’État et Thalès qui avanceraient ensemble sur le sujet.

Après l’échec des tentatives de rachat menées par le consortium Onepoint d’un côté, et la holding de Daniel Kretinsky de l’autre, c’est l’opération de la dernière chance pour Atos – 90 000 salariés dans le monde, 10,7 milliards d’euros de chiffre d’affaires en 2023 – dont la capitalisation boursière ne représente plus aujourd’hui que 75 millions d’euros.

Une framboise sous stéroïde

La fondation Raspberry Pi vient d’annoncer un nouveau capteur optique (de chez Sony) pour son micro-ordinateur : l’AI Camera. Comme son nom l’indique, elle intègre des fonctionnalités liées à l’intelligence artificielle. Elle est notamment « conçue pour classifier des personnes/animaux/objets ».

Début juin, la fondation Raspberry Pi présentait un module AI (ou AI Kit), mais qui n’était compatible qu’avec la dernière itération du micro-ordinateur : le Raspberry Pi 5. Ce NPU externe vendu 79,50 euros promet des performances jusqu’à 13 TOPS pour l’intelligence artificielle, mais il fallait acheter un capteur optique en plus pour en profiter pleinement.

• Même le Raspberry Pi 5 succombe à l’IA…

Un capteur IMX500 de Sony, avec IA intégrée

La fondation revient aujourd’hui avec une « AI Camera », compatible cette fois avec tous les modèles Raspberry Pi, y compris les Zero. L’AI Camera est annoncée à 70 dollars par la fondation et on la trouve à 80,40 euros chez Kubii, soit au même niveau que le module AI.

Le module utilise un capteur IMX500 de Sony, qui se suffit à lui-même pour la partie intelligence artificielle. En effet, comme l’explique Sony, l’IMX500 « combine un capteur d’image avec un ISP et de la SRAM intégrée dédiée pour permettre un traitement d’IA » en local. Il est combiné avec un micro-contrôleur maison – le RP2040 – « pour la gestion des réseaux de neurones et du firmware ».

Côté caractéristiques techniques, l’IMX500 est annoncé pour 12,3 Mpx (4 056 x 3 040 px) avec la possibilité d’enregistrer des vidéos en 60 fps, et jusqu’à 240 fps si on se limite au 1080p. Avec le traitement IA, la sortie vidéo est par contre limitée à 30 fps. La mémoire interne est de 84 Mo, à la fois pour le firmware, les poids du réseau de neurones et les calculs.

« Conçue pour classifier des personnes/animaux/objets »

« Grâce à la suite d’outils IA de Sony, les modèles de réseaux neuronaux existants utilisant des frameworks tels que TensorFlow ou PyTorch peuvent être transformés pour fonctionner efficacement sur la caméra AI », affirme la fondation.

Elle ajoute qu’« un processeur de signal d’image (ISP) intégré exécute les étapes de traitement d’image de base sur la trame du capteur (principalement la conversion Bayer vers RGB et le recadrage/remise à l’échelle) et envoie la trame traitée directement dans l’accélérateur d’IA. Une fois que le modèle de réseau neuronal l’a traité, elle est transférée vers le Raspberry Pi avec la trame Bayer via le bus de caméra CSI-2 ». La puissance de calcul n’est toutefois pas précisée.

Selon Kubii, ce système est « conçu pour classifier des personnes/animaux/objets, localiser avec précision les objets et silhouettes, réaliser le suivi des objets en mouvements en temps réel à travers des séquences vidéo,… ». Le revendeur affirme que, selon Sony, le traitement ne prendrait que « 3,1 millisecondes pour la reconnaissance d’objets ».

AI Kit ou AI Camera ?

Si vous vous demandez s’il faut acheter le module AI ou la caméra AI, la fondation apporte des éléments de réponse : « Le kit AI a des performances théoriques supérieures à celles de la caméra AI et peut prendre en charge une gamme plus large de modèles, mais il n’est compatible qu’avec Raspberry Pi 5 ».

De son côté, la caméra AI est une solution plus compacte et moins chère si vous n’avez pas déjà de capteur et un Raspberry Pi d’ancienne génération. Kubbi annonce une compatibilité du Raspberry Pi 3 au 5, avec les Zero et Zero 2W en prime.

De la documentation pour les développeurs est disponible par ici. Sony en propose également sur cette page.

Voilà une semaine qui commence sur les chapeaux de roues avec une nouvelle fuite de données personnelles, et pas des moindres.

Boulanger, Cultura, DiviaMobilités, Truffaut, Cybertek et Grosbill (qui font partie du même groupe), l’Assurance retraite, RED by SFR et donc maintenant Meilleurtaux, comme on peut le voir sur X. À chacun son tour…

Dans un email envoyé à ses clients, le courtier en ligne explique avoir été la cible d’une « attaque externe sur [ses] systèmes informatiques ». Des données « ont été exposées : votre identité, vos coordonnées postales et téléphoniques, votre situation professionnelle, vos revenus, votre situation familiale, votre date de naissance, votre nationalité et votre pays de naissance ».

MeilleurTaux vient d'avoir une belle fuite de données…. pic.twitter.com/hCfduXEe4f

— Valentin (@ElFisherPrice_) September 27, 2024

La société ne semble communiquer que par email. Aucun message sur les réseaux sociaux, rien sur la page d’accueil de son site ni dans la partie communiqué de presse. On est loin des recommandations de l’ANSSI.

• Protection des données : de graves lacunes, un best of de ce qu’il ne faut pas faire

Nous avons demandé des précisions, notamment sur le nombre de personnes touchées, la sécurité des comptes (identifiants et/ou mot de passes).

Dans un billet très corrosif publié sur le blog de WordPress.org vendredi 27 septembre, Matt Mullenweg explique avoir laissé un « sursis » à WP Engine : l’entreprise a encore accès aux ressources de wordpress.org jusqu’au 1er octobre. Mais dès demain 00:01 UTC (soit 2 h heure française), cet accès sera de nouveau coupé.

Le torchon brûle donc toujours dans l’écosystème commercial de WordPress. Matt Mullenweg, qui est à la fois le créateur du logiciel et le responsable de l’entreprise Automattic qui vend des prestations autour, en veut à WP Engine. Selon lui, son concurrent utilise la marque WordPress abusivement, ne contribue pas assez au projet et « profère des menaces juridiques » contre WordPress.org.

Matt Mullenweg explique faire cette concession après avoir entendu que les clients de WP Engine sont « frustrés » de cette situation.

• Le torchon brule dans l’écosystème commercial de WordPress

Modèle de Langage Sans Défaut ?

L’entreprise de Redmond lance un outil appelé « Correction » censé identifier et proposer des réécritures de textes générés par des IA. Cet outil s’appuie lui aussi sur des modèles de langage. L’outil arrive tard, alors que le doute s’installe dans une partie des entreprises sur la confiance à accorder aux IA génératives.

Comme l’avoue maintenant Microsoft dans sa vidéo de promotion de son nouvel outil « Correction », « les « hallucinations » des IA peuvent avoir des conséquences sur la précision, la confiance de l’utilisateur et la crédibilité de votre application ».

Jusqu’à récemment, les entreprises d’IA génératives ont massivement diffusé ce genre d’outils sans se préoccuper de ces conséquences. Pourtant, ces « hallucinations » – ou plutôt des erreurs dans lesquelles le système produit du texte ou des images incohérents – étaient présentes depuis les débuts de l’utilisation publique des grands modèles.

Des rustines pour éviter les hallucinations

Ces entreprises commencent à proposer quelques rustines pour combler les erreurs de leurs modèles. Il semble aussi, alors que les milieux financiers parlent de plus en plus d’une bulle de l’IA, qu’elles doivent montrer aux investisseurs que leurs systèmes peuvent être améliorés. En juin, OpenAI annonçait son CriticGPT pour proposer des corrections sur des erreurs de code générées par GPT-4. Fin juin, Google a aussi proposé son propre système.

Ici, avec Correction, Microsoft assure pouvoir proposer un outil qui peut détecter et réécrire des contenus incorrects générés par n’importe quelle IA générative. « Il est essentiel de donner à nos clients les moyens de comprendre les contenus non fondés et les hallucinations et d’agir en conséquence, d’autant plus que la demande de fiabilité et d’exactitude des contenus générés par l’IA ne cesse d’augmenter », explique l’entreprise.

Microsoft propose cet outil aux utilisateurs de son API Azure AI Content Safety qui peuvent s’en servir sur du texte généré par n’importe quel modèle.

Interrogé par TechCrunch, Microsoft affirme que « Correction est alimenté par un nouveau processus d’utilisation de petits et grands modèles de langage pour aligner les sorties sur des documents donnés ». L’entreprise ajoute : « nous espérons que cette nouvelle fonctionnalité aidera les créateurs et les utilisateurs d’IA générative dans des domaines tels que la médecine, où les développeurs d’applications déterminent que la précision des réponses est d’une importance significative ».

Des modèles pour corriger d’autres modèles

Elle redirige aussi vers un article mis en ligne récemment par les chercheurs de Microsoft sur arXiv. Comme le remarque TechCrunch, « le document omet des détails essentiels, tels que les ensembles de données utilisés pour entrainer les modèles ».

Cet article propose un enchainement de deux modèles de langage pour analyser la phrase générée par le modèle testé. Le premier modèle de Correction, un petit modèle, va classer la phrase en tant qu’ « hallucination » ou pas. Si la phrase est catégorisée comme telle, un autre modèle, plus gros, est utilisé pour générer une explication de cette catégorisation. Si ce modèle considère que la phrase générée n’est pas une « hallucination », un mécanisme de retour d’information affine les résultats du premier modèle.

Le système de Microsoft, qui utilise la génération augmentée de récupération (RAG, retrieval-augmented generation), a besoin de s’appuyer sur un ensemble de documents donné par l’utilisateur comme « base de raisonnement ».

Les hallucinations sont intrinsèques aux modèles de langage

Interrogé par TechCrunch sur ce système, Os Keyes, doctorant à l’université de Washington, explique qu’ « essayer d’éliminer les hallucinations de l’IA générative, c’est comme essayer d’éliminer l’hydrogène de l’eau ».

Pour Mike Cook, chercheur à l’université Queen Mary, cette correction au fil de l’eau et sans transparence pourrait donner un faux sentiment de disparition des hallucinations. « Microsoft, comme OpenAI et Google, ont créé cette situation problématique dans laquelle on se fie aux modèles dans des scénarios où ils se trompent fréquemment » explique-t-il à TechCrunch. Mais pour Mike Cook, « Microsoft répète maintenant l’erreur à un niveau plus élevé. Disons que cela nous fait passer d’une sécurité de 90 % à une sécurité de 99 % – le problème n’a jamais vraiment été dans ces 9 %. Il se situera toujours dans le 1 % d’erreurs que nous ne détectons pas encore ».

Une perte de confiance des clients

Problème pour Microsoft et ses concurrents, les « hallucinations » commencent à miner la confiance de leurs utilisateurs dans leurs nouveaux outils. Nos collègues de The Information expliquaient début septembre que certains clients de Microsoft n’utilisent plus l’IA d’Office censée les aider. Fin juillet, Business Insider racontait qu’une entreprise de l’industrie pharmaceutique a abandonné au bout de six mois son accord avec Microsoft concernant Copilot, car les outils proposés n’étaient pas assez performants pour justifier l’investissement.

Interrogés par le cabinet de KPMG, six responsables de la tech du Royaume-Uni sur dix considèrent que les hallucinations sont les plus gros problèmes lorsqu’on adopte des outils d’IA générative.

Comme prévu, Proton a fini par publier les sources pour l’ensemble de ses applications Drive. Proton Drive est pour rappel un espace de stockage distant, avec le chiffrement de bout en bout cher à l’entreprise.

• Code source de l’application Windows
• Code source de l’application macOS
• Code source de l’application Android
• Code source de l’application iOS

Tous les codes sources sont publiés sous licence GPLv3. Dans l’application Windows, une partie du code est sous licence MIT, Proton utilisant .NET pour son client.

« En donnant un accès complet à notre code source, nous permettons à quiconque de vérifier que nos applications fonctionnent comme promis et qu’elles offrent la sécurité et la confidentialité que nous revendiquons », indique Proton.

L’éditeur suisse ajoute que la disponibilité du code source permettra à la communauté de la sécurité de débusquer les éventuelles failles de sécurité. Il met d’ailleurs en avant son programme de chasse aux bugs (bug bounty).

Depuis 2018, l’Arcep (régulateur des télécoms) fournit un site pour connaitre la couverture mobile des quatre opérateurs nationaux disposant de leur propre réseau. Le site propose des informations sur la qualité de service en voix/SMS et data, avec les différentes technologies (2G à 5G).

Depuis peu, le régulateur propose une nouvelle version de site, en bêta pour le moment, avec une nouvelle interface :

« Une attention particulière a été portée à la lisibilité des cartes de couverture, qui s’adaptent dynamiquement au niveau de zoom, garantissant une expérience fluide et intuitive, quel que soit le contexte de navigation. Elle permet aussi de découvrir des informations techniques détaillées sur les antennes radio telles que leurs hauteurs, leurs orientations ou encore les technologies qu’elles utilisent ».

L’Arcep indique également que de nouveaux outils de diagnostic de la couverture mobile sont mis à disposition, de même que des statistiques territoriales adaptées à la zone sélectionnée. Un fond de plan satellite est aussi de la partie et on peut superposer les cartes de couverture théorique de deux opérateurs.

Le régulateur lance un appel à contribution, avec un Framaforms dédié pour les retours. La mise en ligne de la version finale est prévue pour le premier semestre 2025.

• Mon Reseau Mobile – Bêta (arcep.fr)