Depuis des décennies, les développeurs Linux utilisent une fonction nommée strncpy pour copier du texte. Développée en C, elle est étiquetée comme dangereuse par la propre documentation du noyau. Problème, elle est omniprésente.

Pour comprendre le problème, on peut utiliser une analogie. Supposons que la mémoire de l’ordinateur est comme une série de casiers. Quand un programme veut enregistrer un texte, il réserve une boite d’une certaine taille et y écrit le texte. En langage C, l’ordinateur n’a pas de moyen « naturel » pour savoir quand le mot s’arrête. Il y a donc une règle simple : quand le programme écrit un texte, il faut qu’un point rouge (caractère de fin de chaîne \0) en signale la fin.

Et c’est là que les ennuis commencent. La fonction strncpy() est responsable de la copie des textes, mais elle a un gros défaut : quand le texte est trop long, elle coupe la séquence de caractères, mais oublie d’ajouter un point. Et quand le texte est trop court ? Elle ajoute autant de points rouges que nécessaire pour remplir le champ réservé. Les conséquences vont du gaspillage d’énergie à la fuite de secrets, car l’absence de point rouge entraine l’application ou le service à lire ce qui se trouve au-delà, donc des informations présentes dans d’autres « casiers ».

Ces problèmes sont connus depuis longtemps, mais leur résolution a demandé un vaste effort d’ingénierie. Des développeurs ont ainsi passé les six dernières années à référencer toutes les occurrences de la fonction strncpy dans l’intégralité du code du noyau, totalisant 362 commits (des participations, en quelque sorte), rapporte Phoronix. La version 7.2 à venir sera donc la première à ne plus posséder strncpy, remplacé par des variantes modernes et beaucoup plus sécurisées.

Dans la plupart des cas, il s’agira de strscpy, qui possède le comportement adapté : l’outil copie du texte, mais si la séquence est trop longue, il la tronçonne en ajoutant systématiquement un point rouge à la fin de chaque morceau. Strncpy est donc supprimé définitivement à partir du prochain noyau, avec impossibilité d’y faire appel.

Sync-in est une solution d’hébergement et de synchronisation de fichiers libre et open source (licence AGPL 3), dont le code est disponible depuis un dépôt GitHub. Nous nous étions entretenus avec le créateur du projet, Johan Legrand, qui nous avait alors expliqué ses motivations : proposer une solution simple de synchronisation et de gestion des fichiers, et se concentrer sur l’aspect collaboratif.

La version 2.4, disponible depuis ce 23 juin, comporte bon nombre d’améliorations. En plus d’OnlyOffice et Collabora, l’outil prend en charge Euro-Office. Il est désormais possible d’annuler des tâches (envois, téléchargements, extractions…) depuis le panneau des tâches. Les tâches liées aux fichiers sont d’ailleurs maintenant mises en file d’attente et limitées par utilisateur. Ce changement doit empêcher de lancer un trop grand nombre d’opérations lourdes en parallèle.

On note également deux améliorations bienvenues. Sync-in 2.4 apporte ainsi le support des archives ZIP, en plus des TAR et TGZ déjà prises en charge. D’autre part, l’outil peut à présent vérifier l’email OpenID Connect. Il s’agit d’une option, qui permet aux administrateurs d’exiger qu’un utilisateur OIDC ait une adresse vérifiée avant de pouvoir associer son compte.

Une mesure de sécurité complétée par plusieurs corrections, notamment pour une application renforcée de l’authentification multifacteur et une meilleure défense contre les essais répétés de codes TOTP (Time based One Time Password). On note aussi des améliorations de fiabilité, dont les téléchargements depuis une URL, diverses corrections pour les éditeurs texte et Markdown, la sélection filtrée, le démarrage du serveur et le chargement de configuration.

Le projet a largement accéléré depuis l’automne dernier, avec la sortie de multiples versions. Au cours des six derniers mois, on a pu voir l’arrivée d’un éditeur Markdown intégré, la rétention optionnelle de la corbeille, une amélioration de l’indexation, l’OCR pour les PDF, le support d’OpenID Connect ou encore une refonte de l’interface.

Brèches et oxydation

Le langage Rust et son écosystème ont désormais un ingénieur sécurité résident. Le contrat prévoit pour l’instant qu’il reste six mois, et davantage en fonction du financement. Cette embauche doit permettre la coordination et l’évolution de la sécurité au sein de l’écosystème Rust.

La fondation Rust est la structure créée en février 2021 pour gérer le développement et l’orientation du langage créé par Mozilla. Depuis, elle gère une Security Initiative destinée à protéger les parties de l’écosystème « qu’aucun mainteneur individuel ne peut raisonnablement couvrir seul » : modélisation des menaces pour crates.io (les crates sont des binaires ou des bibliothèques), signature de provenance des artefacts, publication de confiance, ou encore création d’outils comme Painter et Typomania pour cartographier les dépendances et détecter les typosquattages.

Comme l’indique la fondation dans un communiqué publié le 16 juin, l’ensemble est soutenu financièrement par des membres de la fondation (AWS est cité) et par Alpha-Omega, « une initiative inter-industrie qui finance des travaux de sécurité dédiés à travers les projets open source critiques ». C’est dans ce cadre et grâce à ces apports que la fondation annonce l’embauche d’un ingénieur à temps plein pour chapeauter la sécurité de Rust et de son écosystème.

L’impact de l’intelligence artificielle

Dans le communiqué d’Alpha-Omega publié le même jour, on peut lire que cette embauche découle d’un constat : les outils automatisés sont suffisamment puissants pour révéler les failles de sécurité à grande échelle. Plusieurs grands projets Rust ont ainsi reçu des signalements pour corriger de vraies vulnérabilités.

Cependant, le communiqué note aussi que ces outils génèrent un grand nombre de signalements qui peuvent être aussi plausibles qu’inutiles. Alpha-Omega évoque les heures perdues par les mainteneurs à trier ces informations. Une mention qui renvoie, une fois encore, à l’exemple de FFmpeg qui se plaignait du flot ininterrompu de signalements par des personnes n’ayant que peu d’expérience et incapables de voir si les informations envoyées étaient crédibles. Les signalements doivent cependant tous être analysés de peur de laisser passer une faille importante, avec une contrainte forte sur les petites équipes.

Un travail de synthèse et de lubrification

Le nouvel ingénieur, Jacob Finkelman, utilisera « un mélange de méthodes dirigées par l’humain et assistées par l’IA » pour examiner le langage Rust proprement dit et les crates sur lesquels l’écosystème s’appuie le plus. Il sera chargé de séparer le bon grain de l’ivraie : les vrais problèmes exploitables d’un côté, le reste à la poubelle, pour que seules des informations utiles soient envoyées aux mainteneurs.

Jacob Finkleman est un ingénieur logiciel plus connu sous le pseudonyme Eh2406. Il a commencé à utiliser Rust en 2015 et fait partie de l’équipe Cargo de Rust depuis 2018. Il est également le mainteneur de pubgrub-rs, un résolveur de dépendances qui alimente notamment uv, un gestionnaire de paquets et projets Python (écrit en Rust). « Sa connaissance du graphe de dépendances des crates le positionne idéalement pour travailler sur les risques liés à la chaîne d’approvisionnement logicielle », indique la fondation Rust.

Le travail s’effectuera en collaboration avec « les pairs d’autres écosystèmes » et le SRWG (Security Response Working Group) de Rust. Tout ce petit monde devra se concerter pour évaluer rapidement la gravité du contexte et aider autant que possible au développement rapide des correctifs. Cette équipe réduite devra en outre coordonner la divulgation et la publication responsables des informations. Elle servira aussi de guichet unique pour les rapports entrants, « y compris ceux arrivant via des initiatives comme le Project Glasswing », et d’intermédiaire entre chercheurs et mainteneurs quand des situations urgentes se produisent.

• Anthropic dévoile Mythos, son modèle d’IA chasseur de failles… réservé à certains

Six mois pour commencer

Au vu de l’attraction dont jouit Rust depuis plusieurs années et son utilisation plus intensive dans les projets commerciaux (y compris chez Microsoft et Google qui l’utilisent en programmation système), l’écosystème a de quoi se réjouir.

Cette embauche n’est cependant pas définitive. La fondation précise que ce nouveau poste sera à temps plein pour six mois et la suite dépendra de plusieurs facteurs, selon ce que les personnes impliquées « apprendront » et… les financements disponibles bien sûr.

En revanche, la fondation précise que tout ce travail donnera naissance à des méthodes, manuels et consignes qui seront dûment documentés « pour que le travail ne s’arrête pas avec le contrat ». Les outils et pratiques seront partagés avec d’autres écosystèmes, en particulier ceux ayant aussi reçu un financement d’Alpha-Omega, comme la fondation PHP et la Drupal Association.

Enfin, la fondation invite les mainteneurs de crates largement utilisés à la contacter pour être pris en compte dans le cadre de cette initiative de sécurisation.

Patch the world, make it a better place

OpenAI étend le front de guerre sur la cybersécurité avec une extension de son programme Daybreak. L’entreprise a fait plusieurs annonces, dont le lancement d’une version finale pour son modèle dédié GPT-5.5-Cyber et l’initiative Patch the Planet destinée au monde de l’open source.

En mai, OpenAI lançait Daybreak, une plateforme de cybersécurité conçue pour rassembler tous les produits et services de l’entreprise dans ce domaine. On y trouvait notamment trois modèles combinés à Codex Security : le GPT-5.5 classique, le même avec l’option Trusted Access for Cyber (TAC) et GPT-5.5-Cyber, alors en préversion. Plus on grimpe dans les modèles, plus l’outil se veut puissant, et plus les vérifications sont importantes.

• Daybreak, la nouvelle plateforme cybersécurité d’OpenAI

Ce 22 juin, OpenAI a annoncé une importante extension de sa plateforme et veut clairement doubler Anthropic sur le devant de la scène.

Un GPT-5.5-Cyber mis à jour

On commence avec une nouvelle version du modèle GPT-5.5-Cyber, qu’OpenAI décrit bien sûr comme plus puissante. Il est présenté par l’entreprise comme le plus puissant et le plus permissif « pour des travaux avancés et autorisés en cybersécurité ».

« C’est notre modèle le plus solide à ce jour pour trouver et aider à corriger les vulnérabilités logicielles, tout en conservant l’intelligence polyvalente de GPT-5.5 et sa capacité à travailler sur des tâches longues et complexes », affirme OpenAI.

L’analyse se veut notamment plus profonde sur les grandes bases de code. Selon OpenAI, GPT-5.5-Cyber peut identifier les composants importants pour la sécurité, trouver le code vulnérable, identifier et valider les problèmes probables dans des environnements contrôlés, développer et tester des correctifs, ou encore préparer des preuves pour des examens humains.

Pour l’entreprise, il n’est plus question de seulement détecter les problèmes, mais d’aider les développeurs à « traverser toute la boucle de remédiation ». En clair, faciliter l’intégralité du processus allant de la détection à la correction.

OpenAI aligne évidemment des scores issus de benchmarks. Sur CyberGym (qui mesure la capacité d’un agent à reproduire des vulnérabilités connues dans des environnements logiciels), GPT-5.5-Cyber a obtenu 85,6 %, contre 81,8 % pour GPT-5.5 classique, mais surtout contre 83,6 % pour Mythos 5. OpenAI n’évoque pas le grand concurrent dans son communiqué, mais le score apparaît quand même dans un tableau. Sur deux autres benchmarks, ExploitGym et SEC Bench Pro, GPT-5.5-Cyber obtient respectivement 39,5 % et 69,8 %, contre 29,95 % et 63,1 % pour GPT-5.5. Pas question de modèles concurrents cette fois.

La société indique dialoguer avec le gouvernement américain sur son approche cyber. Elle déclare travailler en collaboration avec le Center for AI Standards and Innovation (CAISI) sur les tests préalables au déploiement de GPT-5.5 et 5.5-Cyber, avec le Bureau du Directeur national de la cybersécurité (ONCD) et avec l’Office de la politique scientifique et technologique (OSTP) sur la mise en œuvre du décret présidentiel du 2 juin sur l’IA.

• Le décret présidentiel sur l’IA de Donald Trump a été édulcoré

OpenAI ajoute que la combinaison GPT-5.5 avec Trusted Access for Cyber et Codex Security constitue un « bon point de départ ». Le duo a aidé à identifier et à valider des failles dans diverses bases de code, dont Firefox, V8, Safari, OpenBSD, FreeBSD et les implémentations HTTP/2.

Quant à GPT-5.5-Cyber, il est destiné « aux défenseurs vérifiés dont le travail autorisé nécessite nos capacités cyber les plus avancées et un comportement plus permissif, associé à une vérification, un suivi, des contrôles et une révision plus stricts ». En d’autres termes, le même type d’acceptation sur dossier que pour Mythos chez Anthropic.

Patch the Planet : l’offensive sur l’open source

Autre initiative d’OpenAI, particulièrement intéressante celle-là : Patch the Planet. Créée avec Trail of Bits et en partenariat avec plusieurs structures comme HackerOne, elle vise à financer des chercheurs en sécurité reconnus et à les équiper avec Codec Security pour travailler directement avec les mainteneurs de code open source.

OpenAI cite une étude de la Linux Foundation et d’Harvard selon laquelle 94 % des projets open source les plus utilisés ont moins de dix personnes responsables de plus de 90 % du code ajouté sur une année. « Les logiciels open source alimentent des produits, des services publics, des outils pour développeurs et des infrastructures critiques à travers les secteurs. Une vulnérabilité dans une bibliothèque réseau largement utilisée peut affecter des milliers de systèmes en aval », déclare OpenAI.

Le processus suit un cheminement spécifique : une consultation entre les chercheurs et les mainteneurs, la définition par ces derniers des priorités et préférences, puis la prise en charge par les chercheurs du travail. Ce dernier comprend la validation et la déduplication des vulnérabilités et correctifs avant qu’ils atteignent les mainteneurs, réduisant d’autant leur charge.

« Les projets participants reçoivent ChatGPT Pro, un accès conditionnel à Codex Security, ainsi que des crédits API pour le développement principal, l’automatisation des mainteneurs et les flux de travail de publication », ajoute OpenAI. Pour plusieurs projets, le « sprint initial » (5 jours) aurait montré des centaines de problèmes. Des dizaines de correctifs auraient été fusionnés avec d’autres en cours. Trail of Bits a également publié un communiqué sur le sujet.

Reste à voir maintenant si l’initiative tiendra ses promesses et si les conditions d’accès ou encore les crédits seront modifiés par la suite. OpenAI frappe en tout cas là où de gros problèmes ont été révélés ces dernières années, notamment le manque de financement, de mainteneurs et la gestion de la sécurité. On se souvient aussi que l’IA a un impact négatif sur les mainteneurs, le nombre de signalements augmentant drastiquement, comme s’en était plainte l’équipe de FFmpeg.

• FFmpeg, Google et la « bouillie » des rapports de bugs générés par IA

La cybersécurité pour presque tous

OpenAI annonce également des collaborations « étroites » avec des gouvernements et institutions du monde entier, avec l’objectif de renforcer leur niveau de cybersécurité. Courant mai, la France a ainsi obtenu un partenariat pour GPT-5.5 avec Trusted Access for Cyber, de même que l’Australie, le Canada, l’Allemagne, le Japon, la République de Corée et des institutions européennes comme l’ENISA, l’agence de cybersécurité de l’Union.

La question de la souveraineté n’est pas abordée par OpenAI. Mi-mai, cette facette a été directement mise en avant par Mistral, via son CEO Arthur Mensch, qui accusait notamment Anthropic – sans le nommer – de verser dans le « marketing de la peur ». Le message de l’entreprise française était clair : « Vous ne pouvez pas avoir les bases de données et le code de l’armée française scannés par Mythos. Ça crée une dépendance tellement irrémédiable qu’il faut absolument trouver des solutions ». Et Mistral a assuré qu’elle en aurait bientôt à proposer.

Mistral prépare son IA chasseuse de failles, Microsoft déploie déjà son armée d’agents

Cette question se pose d’autant plus que les ambitions d’OpenAI sont claires. Parmi les annonces du 22 juin, la société indique ainsi qu’elle va travailler directement avec des « opérateurs éligibles d’infrastructures critiques, y compris les réseaux gouvernementaux ». OpenAI veut être en mesure de proposer des « garanties adaptées » et devenir ainsi un acteur incontournable de la cybersécurité. Incontournable probablement au point que l’industrie logicielle ne pourra bientôt plus se passer de l’IA pour la recherche et la correction de failles de sécurité.

Pour Canonical, l’intelligence artificielle se répartit en deux grandes catégories : l’IA implicite, qui améliore discrètement des fonctions existantes, et l’IA explicite, qui correspond à des fonctions que l’on appelle en toute connaissance de cause. Dans notre article du 8 juin, nous évoquions quelques exemples d’IA implicite donnés, comme l’amélioration de l’autofocus pour la webcam ou la qualité du son sur le micro. Ces opérations pourraient être réalisées assez simplement depuis un modèle local.

La seule fonction d’IA explicite prévue était alors une dictée vocale à l’échelle de tout le système. Le 17 juin, Canonical a précisé dans un billet son projet, nommé Myna : « une nouvelle initiative visant à introduire la dictée vocale sur Ubuntu Desktop. Nommé d’après le myna [mainate religieux en français, ndlr], connu pour sa capacité à imiter la parole humaine, le projet vise à offrir une expérience de dictée qui ressemble naturellement à un ordinateur de bureau tout en respectant la confidentialité des utilisateurs et fonctionnant entièrement sur du matériel local ».

L’éditeur confirme l’arrivée de cette fonction dans Ubuntu 26.10, qui arrivera en octobre. Il s’agira d’une première version, au fonctionnement simple : en appuyant sur une touche, on déclenchera l’écoute et le texte s’affichera dans le champ texte de l’application utilisée. Cette première version visera Ubuntu Desktop sous Wayland avec GNOME. Canonical ajoute que l’architecture sera « suffisamment ouverte pour supporter d’autres environnements de bureau à l’avenir ».

Canonical affirme que la fonction est pensée dès la conception pour la confidentialité. Elle ne fonctionnera qu’en local, sans besoin d’une connexion internet. L’accès au microphone ne se fera qu’avec l’activation explicite du raccourci clavier. Quant à l’audio récupéré, il est effacé de la mémoire après avoir été traité et rien n’est envoyé sur des serveurs.

Ubuntu dit chercher des retours sur cette fonction. Un dépôt GitHub a été ouvert pour l’occasion, mais on ne trouve pour l’instant qu’un peu de documentation.

Sans foi sur le métier

Il y a une semaine, une importante campagne d’attaque a été détectée contre les pare-feux Fortinet. 80 000 mots de passe ont été récupérés par des pirates, ce qui représenterait la moitié environ des pare-feux Fortinet exposés à Internet.

L’attaque a été découverte par le chercheur Volodymyr Diachenko (souvent appelé Bob). Dans une publication LinkedIn le 15 juin, il avertit qu’une « campagne massive de force brute/exploitation » a été découverte en pleine action sur des pare-feux Fortinet. Il évoque alors 21 634 noms de domaine uniques, liés à des entreprises allant de Chevron à Fortinet elle-même. Les mots de passe ont été obtenus par craquage du hachage, puis utilisés pour obtenir des données et la prise de contrôle de réseaux internes.

Selon les chercheurs de SOCRadar, le mode opératoire et les traces laissées sont à rapprocher des acteurs malveillants russes. L’attaque est décrite comme particulièrement sophistiquée, ayant abouti à un lot de données comprenant à la fois des mots de passe et des identifiants SSL VPN depuis des fichiers de configuration compromis.

Toujours selon SOCRadar, les équipements attaqués étaient répartis dans 194 pays. Les plus touchés sont l’Inde, les États-Unis et le Mexique, avec près de 12 000 identifiants compromis entre eux. La France est présente dans la liste avec 1 116 identifiants.

La répartition par type de « credentials » révèle une prédominance de comptes organisationnels, pointant vers un ciblage délibéré des entreprises. Foxconn, Samsung, Comcast, Siemens, Lenovo, PwC, Accenture et Oracle, ainsi que de nombreuses entités gouvernementales et opérateurs d’infrastructures critiques ont été touchés. Un contractant turc de l’OTAN figure également parmi les cibles.

Convergence de défaillances

Si l’attaque a été nommée FortiBleed, le cas n’a rien à voir avec Heartbleed : il s’agit bien d’une campagne industrielle de vol et d’utilisation d’identifiants. À la racine de l’attaque, il n’y a pas une faille unique et cataclysmique, mais une série de défaillances en lien avec l’hygiène numérique.

Selon le chercheur Kevin Beaumont dans un billet du 18 juin, les pirates ont commencé par scanner internet à la recherche d’instances Fortinet dont l’interface de gestion FortiGate était accessible publiquement. Ils se sont ensuite intéressés à celles présentant un profil spécifique.

Dans les versions 7.2.11, 7.4.8 et 7.6.1 de FortiOS, le système d’exploitation équipant ses pare-feux, Fortinet a en effet introduit la fonction de hachage PBKDF2 pour les identifiants administrateurs, pour remplacer l’ancien SHA-256. Cependant, lors d’une mise à jour depuis des versions antérieures, les mots de passe existants restent stockés en SHA-256 jusqu’à ce que l’administrateur se reconnecte après l’opération. De nombreuses organisations ont donc appliqué une nouvelle version sans déclencher de nouveau hachage : leurs firewalls, pourtant mis à jour, demeuraient vulnérables.

Les moyens des ambitions

Les pirates ne se sont pas lancés non plus à l’aveuglette. Ils ont opéré sur la base d’identifiants déjà obtenus par plusieurs sources : la fuite Fortinet de 2021 portant sur environ 500 000 comptes FortiGate VPN, les données obtenues après une faille 0-day en 2022, ou encore d’autres bases existantes. Les mots de passe testés n’étant donc pas aléatoires : ils avaient déjà fonctionné par le passé sur des appareils Fortinet.

L’ampleur de l’attaque est connue, car les chercheurs ont pu remonter jusqu’aux pirates russes, car leur serveur était lui-même exposé publiquement. Les journaux récupérés indiquaient environ 1,16 milliard de tentatives d’identification contre 320 777 cibles FortiGate, ainsi que 2,1 milliards de tentatives supplémentaires contre plus de 163 650 serveurs Microsoft SQL Server, indique le site InfoStealers. Le groupe interceptait les hachages d’authentification SSL VPN et les crackait sur un cluster dédié de 45 GPU géré via Hashtopolis, selon Kevin Beaumont.

Au moins une faille existante pourrait avoir été utilisée : la vulnérabilité CVE-2026-24858, qui permet un contournement d’authentification SAML SSO FortiCloud et est classée comme critique, avec un score CVSS de 9,8 sur 10, comme l’indique RansomNews. Elle a été révélée en janvier et est déjà corrigée, mais des appareils ont pu passer à côté du correctif. Du côté de SOCRadar, on note que deux autres failles ont été activement exploitées pendant cette période, CVE-2026-21643 et CVE-2026-35616. Elles concernent FortiClient EMS, mais le lien avec FortiBleed n’est pas confirmé. Aucune faille 0-day ne semble avoir été utilisée.

Pour Fortinet, tout n’est qu’un recyclage d’anciennes fuites

Les recommandations sont claires :

• réinitialiser immédiatement tous les mots de passe administrateurs et VPN (notamment pour les appareils exposés sur Internet)
• activer l’authentification multifacteur sur tous les comptes d’accès administrateurs et distants
• restreindre l’accès à l’interface de gestion aux réseaux internes de confiance
• mettre à jour FortiOS vers une version supportant PBKDF2 et s’assurer que chaque administrateur se reconnecte ensuite pour déclencher un nouveau hachage

Pour Fortinet, il ne s’agit que d’une exploitation d’anciennes bases de données. « D’après notre analyse, les données impliquées sont un mélange de données d’incidents précédents, ainsi qu’un [cracking par] force brute des identifiants, et ne sont pas liées à un incident récent ni à un avertissement. Les organisations qui suivent les meilleures pratiques, y compris la mise à jour régulière des identifiants de sécurité […] courent un risque minimal lié aux détails de compromission des identifiants mentionnés dans les rapports », a déclaré l’entreprise à TechRadar le 18 juin. Elle ajoutait cependant que l’enquête continuait et que la sécurité de ses clients restait sa priorité.

Kevin Beaumont relativise ces déclarations, précisant que les fuites contiennent des données plus récentes.

Bain d'huile

WhatsApp est la messagerie instantanée la plus utilisée au monde après Messenger, les deux appartenant à Meta. Le service possède plusieurs applications, dont deux « desktop » pour Windows et macOS. La différence de traitement est pourtant énorme.

L’histoire de la version Windows du client WhatsApp se découpe en trois phases :

• Jusqu’en 2023 : la première version, essentiellement le service web encapsulé dans une application Electron, qui embarquait également tout le moteur Chromium pour le rendu
• De fin 2022 à 2025 : nouvelle version, native et utilisant UWP (Universal Windows Platform). Particulièrement légère et rapide
• Depuis 2025 : version en date, basée sur WebView2, donc retour à une encapsulation web

Depuis cette dernière mouture, les critiques n’ont pas manqué. Alors que la version native était célébrée pour ses performances, la nouvelle retourne à un rendu web, avec la consommation des ressources qui l’accompagnent.

Pluie de critiques

Si le grand public se « déplace » rarement pour commenter les applications du quotidien, il en va autrement de la presse spécialisée. Windows Latest s’est largement étendu sur le sujet dès novembre 2025, critiquant l’appétit vorace en ressources : 300 Mo de mémoire sur l’écran de connexion, en moyenne 1,2 Go en discutant, et jusqu’à 2 voire 3 Go en utilisation intensive. Nous avons nous-mêmes constaté que l’application pouvait dépasser ces 3 Go, notamment quand on ouvre le panneau des médias échangés dans une longue conversation. Dans ce cas, il n’est pas rare que l’occupation CPU grimpe en flèche, entrainant des ralentissements sur le reste du système.

Fin mai, IntraBlog publiait un billet allant dans le même sens, notant ici encore la forte consommation des ressources. Le site signalait également la multiplication des processus en arrière-plan, un manque fréquent de réactivité et des problèmes de fiabilité, particulièrement dans la synchronisation. Même chose chez Digital Trends, où la critique était sévère fin avril. Même John Grubber, habitué des informations Apple sur son blog Daring Fireball, n’hésitait pas à dire fin 2025 que la nouvelle application était « merdique ».

Sur Reddit, même combat. Les plaintes sont nombreuses, la plupart soulignant la consommation excessive de ressources et la lenteur générale. Plusieurs affirment avoir basculé sur la version web, la mouture desktop n’apportant plus rien. D’autres évoquent des problèmes fréquents de déconnexion, et d’autres encore recommandent d’ouvrir la version web et de passer par l’installation d’application web de Chrome (ou d’un autre navigateur Chromium).

Silence de Meta et pression de Microsoft

On peut comprendre pourquoi Meta s’est orientée vers ces technologies. L’utilisation d’une version web réclame moins de ressources de développement, puisqu’il s’agit dans les grandes lignes de reprendre l’existant. Contrairement à la première version qui utilisait Electron, la dernière se sert de WebView2, une vue web dérivée d’Edge. Techniquement, cette application devrait donc être plus légère, notamment car il n’est plus nécessaire d’embarquer tout le moteur Chromium. En pratique, le client WhatsApp semble renvoyer plusieurs années dans le passé.

Interrogée par plusieurs médias sur le sujet, Meta n’a pourtant jamais répondu. En novembre 2025, certains y voyaient d’ailleurs le signe d’une bascule : l’âge du code natif était-il révolu ?

Pourtant, si le sujet refait intensément parler aujourd’hui, c’est parce que Microsoft semble avoir changé complètement de braquet. À la dernière conférence Build, l’éditeur a largement appuyé sur le code natif et l’utilisation de son framework WinUI. Une équipe est actuellement chargée de développer de nouvelles applications internes, dont le code a été confirmé comme natif. Des éléments actuellement en React Native, dont le menu Démarrer, vont également être réécrits en code natif.

• Vers des applications natives et un menu contextuel personnalisable pour Windows 11

Concrètement, pour les développeurs tiers, le message de Microsoft a été inhabituellement direct : WinUI n’est pas une expérience en attente d’être remplacée, ni un pont technologique avant la prochaine grande unification : c’est désormais la plateforme de production native pour les apps Windows modernes. L’entreprise en est même jusqu’à parler de « web app slop ».

Cette nouvelle insistance de Microsoft et la pression des utilisateurs seront-elles suffisantes pour faire changer d’avis Meta ? Pour l’instant, WhatsApp reste en zone grise. Mais il est probable que cette version WebView2 ait été conçue pour des questions de coûts. En attendant, la version Mac reste native, avec des performances sans commune mesure.

Tout a changé, rien n'a changé

Un responsable de l’équipe Edge chez Microsoft s’est amusé à porter sur iOS un prototype du navigateur avec le moteur Blink, plutôt qu’en passant par le traditionnel (et obligatoire) WebKit. Résultat, une hausse significative des performances. Il ne s’agit toutefois pas d’un test réellement officiel, et les facteurs limitants n’ont pas changé.

Kyle Pflug est l’un des responsables produit d’Edge chez Microsoft. Dans une publication sur LinkedIn le 15 juin, il raconte un projet lancé le temps d’un week-end. Puisque le DMA en Europe permet aux éditeurs de navigateurs de fournir leur propre moteur sur iOS au lieu de passer par WebKit – normalement obligatoire – il s’est demandé ce que donnerait une version d’Edge effectivement accompagnée de Blink, comme sur ordinateur.

Les tests ont été effectués sur un iPhone 17 Pro Max sous iOS 26.5.1. Ils n’ont pas été poussés très loin, Pflug voulant une vue de synthèse sur la base de quelques benchmarks connus :

• Speedometer 3.1 (réactivité web) : 49,27 pour la version Blink, contre 38,3 pour la version WebKit, soit 28,6 % de mieux
• Jetstream 3 (JavaScript et WASM) : 306,35 pour la version Blink, contre 270,9 pour la version WebKit, soit 13,1 % de mieux
• MotionMark 1.3.1 (rendu graphique) : 4 773,52 pour la version Blink, contre 4 673,68 pour la version WebKit, soit 2,1 % de mieux

Comme il le raconte, il s’est amusé à entrer dans un Apple Store pour lancer les trois tests sur un iPad Pro M5. Les résultats étaient plus serrés, avec notamment 45,7 obtenus sur Speedometer. Mais les scores obtenus avec la version de test d’Edge restaient en tête.

Qu’en déduire ?

Difficile dans l’absolu de tirer de grandes conclusions, mais le cas souligne plusieurs points intéressants. Précisons quand même que Kyle Pflug indique bien qu’il s’agit d’une version de développement pour des tests personnels.

« Pour être clair, il s’agit d’un prototype de recherche, pas d’une annonce de produit. Et ce sont des chiffres préliminaires provenant de mon propre appareil, pas des résultats de laboratoire. Mais cela représente une opportunité de combler de véritables écarts de capacités et de susciter une nouvelle concurrence en termes de performance », écrit le responsable sur LinkedIn.

Le 16 juin, alors que Pflug publiait ses résultats sur Bluesky, le post a été repartagé par Ruck Byers, qui n’est autre que l’ingénieur en chef de Chrome chez Google. Il s’est dit impressionné, tout en lâchant une pique à Apple :

« Étant donné que Chromium et WebKit se disputent constamment la première place du classement Speedometer sur macOS, l’écart est vraiment frappant sur iOS ! Et nous n’avons même pas encore vraiment cherché à optimiser les performances pour cette plateforme ! À mon avis, c’est ce à quoi il faut s’attendre en l’absence de concurrence »

Pourquoi personne ne peut-il en profiter ?

Qu’est-ce qu’attend Microsoft pour sortir une version Blink d’Edge dans ce cas ? Ou même Google avec son Chrome ? N’ont-ils pas les moyens de se lancer ?

Techniquement, ils le peuvent. Depuis l’ouverture forcée par le Digital Markets Act de l’Union européenne, Apple a été obligée de lacher du lest. Mais Apple étant Apple, l’entreprise l’a fait d’une manière très particulière.

Ainsi, sur l’App Store, seuls des navigateurs basés sur WebKit (le moteur de Safari) peuvent être validés. Apple a toujours mis en avant la sécurité pour cette limitation : puisque tout le monde passe par le même moteur de rendu, Apple s’assure que ses sécurités sont les mêmes partout. Inévitablement, les performances sont à peu près égales partout aussi. Pour utiliser un autre moteur, il faut soit montrer patte blanche, soit passer par une boutique tierce, sachant que celles-ci ont du mal à se faire une place sur iOS à cause de multiples règles freinant leur développement.

• App Store : Apple détaille ses adaptations au DMA, des réactions déjà virulentes

Si l’on repart maintenant du cas d’Edge, que se passerait-il ? Il faudrait que Microsoft reparte de zéro et sorte un nouveau navigateur mobile pour iOS utilisant Blink. On ne parle pas d’un prototype, mais d’un produit fini, avec tout ce que cela suppose de tests et de finitions. Cette version pourrait soit être lancée sur l’App Store, avec un autre identifiant et en respectant le cadre BrowserEngineKit, soit sur une boutique tierce avec des règles plus libres.

Il y aurait donc deux versions d’Edge, dont une peut-être plus performante, mais accessible uniquement depuis une autre fiche ou un autre emplacement, dont la plupart des utilisateurs n’entendraient pas parler et qui n’existerait que dans l’Union européenne. Une proposition double qui ferait perdre en lisibilité. Et même en cas de boutique tierce, il faudrait d’abord installer cette dernière, ce qui réclame quelques manipulations. On est loin évidemment de la facilité d’installation depuis l’App Store, ou un bouton et une validation biométrique suffisent.

Rien n’a changé en deux ans

Comme le relève notamment The Register, la situation n’a guère évolué en deux ans malgré le DMA. L’ouverture forcée a engendré bien des navettes entre Apple et la Commission européenne, l’entreprise américaine ne cachant plus depuis longtemps sa détestation de cette réglementation.

Les critiques de Mozilla en janvier 2024, soit il y a près de deux ans et demi, sont toujours valables : « Nous sommes encore en train d’examiner les détails techniques, mais nous sommes extrêmement déçus par le plan proposé par Apple de restreindre le BrowserEngineKit nouvellement annoncé aux applications spécifiques à l’UE. Cela aurait pour effet de forcer un navigateur indépendant comme Firefox à construire et à maintenir deux implémentations de navigateur distinctes – un fardeau qu’Apple n’aura pas à supporter ».

Car oui, dans un tel système, Apple garde l’avantage de proposer simplement des mises à jour de son navigateur sans avoir à plier devant d’autres règles que les siennes. Safari et son moteur WebKit restent ainsi tout puissants sur iOS. BrowserEngineKit, créé pour permettre à d’autres moteurs de s’exprimer sur iOS, a des conditions trop restrictives pour être réellement utilisé.

Dans ce contexte, malgré une version de test, Mozilla n’a jamais donné suite à une version entièrement basée sur Gecko, le moteur attitré de la fondation. Le Firefox d’iOS est basé sur WebKit, comme les autres. Sortir une deuxième version ne serait pas rentable, forcerait une maintenance sur les deux moutures, avec une part de marché négligeable et pour laquelle il faudrait payer Apple, puisque « l’ouverture » consentie se fait aussi à travers une redevance.

Même Google avait travaillé sur une version Blink de Chromium pour iOS, comme l’entreprise l’avait confirmé en 2023. Depuis, rien ne s’est passé. Le test de Microsoft a cependant servi à remettre une pièce dans une machine silencieuse. L’association Open Web Advocacy a ainsi mené une nouvelle charge :

« Étant donné qu’Apple a eu plus de deux ans pour produire une solution conforme, la Commission européenne doit ouvrir une procédure de spécification pour instruire Apple, en termes précis, sur la manière dont ces obstacles doivent être levés. C’est, à notre avis, l’intervention la plus cruciale que l’UE puisse faire, et la plus susceptible de transformer l’ensemble de l’écosystème mobile. Aucune autre intervention ne s’en approche. »

Critique local

Une faille de sécurité a été détectée dans les anciennes puces A12 et A13. Liée à l’architecture matérielle, elle ne peut pas être corrigée par une simple mise à jour logicielle, car elle s’appuie sur un bug dans le contrôleur USB.

La société européenne de cybersécurité Paradigm Shift a publié les détails d’une faille dans le BootROM (aussi appelé SecureROM) des puces Apple A12 et A13, accompagnée d’un exploit fonctionnel nommé « usbliter8 », rapporte MacRumors.

Le BootROM est le premier code exécuté par un iPhone à sa mise sous tension. Une vulnérabilité dans ce composant ne peut pas être corrigée par une mise à jour logicielle, car il est gravé directement dans la puce. Si ce type de faille vous rappelle des souvenirs, c’est qu’elle appartient à la même famille que checkm8, une faille matérielle rendue publique en 2019 et qui touchait déjà tous les iPhone du 4S au X.

Où réside la faille ?

La faille se trouve plus précisément dans le contrôleur USB des puces A12 et A13 (et dans une moindre mesure les puces S4 et S5 des Apple Watch). Lorsqu’un iPhone reçoit des données USB au démarrage, le contrôleur utilise un tampon mémoire (buffer) pour stocker les paquets entrants.

Paradigm Shift a découvert qu’en envoyant une séquence spécifique de paquets anormalement petits, il était possible de manipuler un pointeur matériel interne de façon à le faire « reculer » dans la mémoire, permettant l’écriture de données à des emplacements qu’il ne devrait jamais atteindre.

Les chercheurs précisent qu’il s’agit apparemment d’un bug du contrôleur USB matériel lui-même, et non du logiciel d’Apple, expliquant pourquoi aucun patch logiciel ne peut le corriger.

Grave à quel point ?

Seuls deux modèles de smartphones Apple sont touchés par cette faille : les iPhone XS et 11. La puce A11, qui équipait l’iPhone X, n’est pas touchée par cette « nouvelle » faille car son pilote USB réinitialise manuellement le pointeur après chaque paquet stocké dans le tampon. Les puces A14 et suivantes sont protégées car elles configurent correctement une fonctionnalité de protection mémoire au niveau du BootROM. Les A12 et A13 se retrouvent ainsi dans une zone intermédiaire vulnérable.

Selon la puce concernée, le niveau de difficulté diffère largement. Sur les appareils A12, obtenir l’exécution de code est relativement simple. Sur les appareils A13 en revanche, c’est beaucoup plus difficile car Apple a introduit le Pointer Authentication Code (PAC), qui détecte et bloque certains types de falsification de mémoire. Paradigm Shift indique qu’un processus complexe en plusieurs étapes a été nécessaire pour contourner le PAC sur l’A13 avant d’obtenir le contrôle du processeur.

Une fois le contrôle obtenu, l’exploit installe un gestionnaire personnalisé qui survit à un redémarrage de l’appareil et ajoute deux capacités : abaisser temporairement les paramètres de sécurité de l’appareil et lancer un logiciel non signé sans aucune vérification. Il injecte également la chaîne traditionnelle « PWND » dans le numéro de série USB de l’iPhone, signal de compromission qui reprend une convention héritée de checkm8.

Il s’agit d’une procédure locale, qui requiert une connexion USB et donc un accès physique. Elle ne peut pas être exploitée à distance, mais est quand même considérée comme critique par les chercheurs, car rien ne peut la corriger.

Un bug dans la correction

L’ironie veut que la nouvelle faille soit exploitable à cause des corrections apportées par Apple au mécanisme qui permettait à checkm8 de fonctionner en 2019. Cette correction a introduit un nouveau bug, qui permet aujourd’hui à usbliter8 de fonctionner, alors que l’iPhone X (puce A11) y est insensible par exemple.

Le bug et son exploitation peuvent-ils affecter la Secure Enclave des puces Apple, responsable (entre autres) du stockage des clés de sécurité ? Pas directement selon les chercheurs de Paradigm Shift. Une telle compromission du BootROM ouvre toutefois de nouvelles voies d’attaques contre ce composant crucial.

L’entreprise de sécurité indique dans son billet avoir averti Apple de ces problèmes avant la publication des résultats. Paradigm Shift affirme qu’il s’agit d’une divulgation coordonnée, en accord avec la firme de Cupertino.

Rufus est une petite application très pratique qui permet de préparer des clés USB pour l’installation de systèmes d’exploitation. Elle s’est fait un nom avec Windows 11 en particulier, en incluant des options permettant de faire « sauter » les prérequis techniques, comme la présence obligatoire d’une puce TPM 2.0.

Quand la version 4.14 est sortie le 30 avril, elle a introduit une nouveauté majeure : l’installation silencieuse pour Windows 11. On peut ainsi paramétrer par avance tous les choix du processus, afin que l’installation se déroule d’une traite, sans intervention manuelle. On peut configurer ce que l’on souhaite comme configuration de stockage, créer un nouveau compte ou encore passer le premier assistant de configuration.

Cette version comportait cependant plusieurs problèmes. La mouture 4.15, disponible en bêta, en corrige la plupart, notamment deux importants : un blocage qui pouvait survenir à 75 % de l’installation, ou encore un autre qui entrainait un plantage au démarrage sur les machines ARM64 équipées d’une puce Snapdragon X. L’utilisation d’une image ISO contenant plusieurs conteneurs WIM pouvait également déclencher une boucle de redémarrage sans fin.

Dans les notes de version, on peut voir que les garde-fous autour de cette fonction d’installation silencieuse ont été améliorés. En outre, il est maintenant possible d’annuler l’opération si des erreurs d’écritures sont rencontrées.

On peut récupérer cette bêta depuis le dépôt GitHub de l’application. Les plus prudents attendront cependant l’arrivée de la version finale.

L’éditeur Epic Games vient de publier sur un dépôt GitHub un nouveau système de contrôle de version (VCS) à destination du monde des jeux vidéo. Il cible les développeurs et cherche à résoudre des problèmes spécifiques liés aux très gros fichiers.

Lore est le nouveau système de contrôle de version open source (sous licence MIT, très permissive) officiellement lancé par Epic Games lors de l’Unreal Fest de juin 2026. Il a mûri en interne en tant que brique sous-jacente du framework Unreal Revision Control au sein de l’écosystème UEFN (Unreal Editor for Fortnite).

« Lore est un système conçu pour une évolutivité sans précédent des données et des équipes, dont la maintenance est assurée par Epic Games. Il est optimisé pour les projets, notamment les jeux et le divertissement, qui combinent du code et de grandes ressources binaires. Il répond aux besoins des développeurs comme des artistes », indique Epic sur la page du projet.

Des problématiques spécifiques

Lore se présente donc comme un VCS axé sur le contenu. On peut l’installer sur Windows, Linux et macOS, et il dispose d’une version serveur que l’on peut utiliser localement ou transférer vers des infrastructures cloud. Attention tout de même, il ne s’agit pas encore d’une version finale. La bêta est lancée à des fins de tests, mais les API peuvent encore changer, ce qui pourrait introduire des cassures plus tard. À manier avec précaution donc, même si Epic affirme qu’une « compatibilité ascendante stricte s’appliquera ».

Sur le site du projet, Epic cite des solutions existantes comme Git, Perforce ou encore Mercurial/Sapling. Pourquoi une autre solution ? Epic répond : parce qu’aucune des actuelles ne fait vraiment tout. La souplesse de Git est louée, mais les fichiers binaires y sont considérés comme des « citoyens de seconde zone » selon l’éditeur et il manque de capacités pour le travail collaboratif. Perforce est vu comme puissant, mais lent à cause des allers-retours avec le serveur pour des opérations standard. Mercurial et Sapling ont une architecture distribuée efficace mais, comme Git, le texte a la priorité sur les autres ressources.

Lore propose donc une autre approche, centrée sur la conception de jeux vidéo et les besoins spécifiques de l’industrie. La conception binaire est au premier plan, avec une architecture « spac-by-construction » qui ne télécharge que les fragments nécessaires de données depuis le serveur pour limiter les échanges (lazy loading). On y trouve aussi une élimination des révisions partiellement appliquées, des états intermédiaires invisibles pour qui n’a pas besoin de les voir, ainsi qu’une API pouvant fonctionner avec C/C++, C#, Rust, Go, Python et JavaScript.

Une orientation API

Cette architecture est « multi-tenant » (multi-locataire) : elle est pensée pour les dépôts multiples et le travail collaboratif. Son moteur de stockage intègre une déduplication au niveau des blocs de données.

Un serveur Lore peut ainsi héberger plusieurs dépôts, ne stockant les octets qu’une seule fois si une même ressource binaire volumineuse est partagée entre plusieurs projets ou développeurs. L’ensemble fonctionne avec une isolation cryptographique pour empêcher un locataire d’accéder aux données d’un autre (ou de les déduire). Si Lore maintient un mécanisme de branches libres à la Git, il permet aussi de verrouiller les fichiers en amont pour empêcher les conflits insolubles avant qu’ils se produisent.

Lore se distingue également de Git (dont il s’inspire largement) et de son orientation fondamentalement CLI (ligne de commande) par une conception centrée sur les API. Le cœur du système se veut extensible grâce à des liaisons natives pour les mêmes langages que ceux cités précédemment.

Ce qui n’empêche pas Epic de fournir une interface en ligne de commande, mais un client de bureau multiplateforme est proposé. Des tiers spécialisés dans le pipeline de production numérique, à l’image d’Anchorpoint, développent déjà des clients graphiques Lore spécialisés pour intégrer la prévisualisation et le diffing visuel de formats 3D et 2D complexes.

D’autres informations et des liens de téléchargement sont aussi disponibles depuis le dépôt GitHub du projet. Epic fournit, entre autres ressources, un guide d’installation et de première configuration d’un dépôt. L’éditeur indique dans sa FAQ que les évolutions prévues intègrent « des flux de travail pour les grands référentiels étendus (VFS, Windows Service), l’intégration OAuth, le verrouillage évolutif, la réplication multiserveurs, des hooks côté client et côté serveur, un plug-in VS Code ainsi qu’un client de bureau et un client web open source ».

GitHub, propriété de Microsoft, fait face à une explosion de son activité due aux outils de codage par IA (Copilot, agents autonomes, etc.). Selon Business Insider, qui cite deux sources internes, Microsoft aurait décidé de se tourner vers l’un de ses plus grands rivaux dans le cloud, Amazon, pour aider à résoudre des problèmes de capacité sur sa plateforme de code GitHub, suite à une série de pannes liées à l’IA.

Rappelons que GitHub, qui a longtemps profité d’une forme d’indépendance au sein du groupe de Redmond, était censé migrer intégralement vers Azure sous 24 mois, selon des déclarations formulées en octobre dernier.

Bien que Microsoft n’ait pas directement confirmé l’information relative à AWS, un porte-parole a indiqué à nos confrères que l’éditeur avait bien une stratégie multi-cloud : « L’incroyable pic du développement des agents qui a commencé à la fin de l’année dernière a mis à l’épreuve les limites de notre infrastructure ». Microsoft « accélère à la fois notre passage à Azure et continue d’explorer une stratégie multi-cloud afin de garantir la capacité future, l’élasticité de calcul et l’échelle horizontale nécessaires pour soutenir une croissance continue ».

On a d’ailleurs une idée assez précise du « pic extraordinaire » en question. Le 3 avril, Kyle Daigle, directeur des opérations de GitHub, publiait une statistique forte sur X : « Oui, l’activité de la plateforme explose. Il y avait eu un milliard de commits en 2025. Maintenant, c’est 275 millions par semaine, donc 14 milliards cette année si la croissance reste linéaire ». Il ajoutait : « Spoiler : ce ne sera pas le cas ».

Le responsable indiquait également que l’équipe poussait « comme des fous vers plus de CPU, l’évolutivité des services et le renforcement des fonctionnalités de base de GitHub ».

La situation ne manquerait pas d’ironie, puisque ce serait l’essor des outils d’IA de Microsoft elle-même qui engendrerait une demande que sa propre infrastructure Azure n’arriverait plus à absorber. Fin avril, plusieurs développeurs renommés, fidèles de GitHub, avaient annoncé leur intention de plier bagage en raison des dysfonctionnements de la plateforme.

Microsoft a depuis introduit une facturation à l’usage de GitHub Copilot qui, elle aussi, suscite son lot de critiques.

• https://next.ink/240147/des-le-premier-jour-la-facture-a-lusage-de-github-copilot-interroge-les-devs/

Et ça marche toujours aussi bien

Une campagne de phishing est en cours pour obtenir des jetons d’authentification Microsoft 365 ; prévient le FBI. La technique n’est pas nouvelle dans l’absolu, mais cette campagne s’appuie sur la plateforme Kali365 de « phishing-as-a-service », permettant une forte automatisation du processus.

En matière de sécurité, les experts sont unanimes : l’authentification multifacteur apporte une vraie couche de protection supplémentaire. Elle permet, dans sa forme la plus classique, de lier deux facteurs : une information mémorisée et une autre fournie par un équipement. Traditionnellement, il s’agit d’un mot de passe et d’une donnée délivrée par le smartphone, comme un code à six chiffres ou, plus directement, un jeton d’authentification.

Bien que globalement efficace, cette protection n’est pas inviolable. Même si on le savait, l’alerte dressée par le FBI fournit un brusque rappel.

Vol de jetons automatisé

Le FBI a émis un avertissement public concernant une plateforme de phishing-as-a-service nommée Kali365, repérée pour la première fois en avril 2026 et diffusée principalement via Telegram. Cette plateforme permet aux cybercriminels d’obtenir des jetons d’accès Microsoft 365 et de contourner l’authentification multifacteur (MFA) sans même intercepter les identifiants des utilisateurs. Bien que l’avertissement date du 21 mai, la campagne est toujours en cours.

La technique utilisée s’appelle le « device code phishing ». L’attaque commence par un email malveillant qui imite un service de cloud ou de partage de documents bien connu. Il contient un code d’appareil accompagné d’instructions pour se rendre sur une page de vérification Microsoft authentique et y saisir ce code

Si la victime valide ce code, elle autorise sans le savoir l’appareil de l’attaque à accéder à son compte. L’accès obtenu grâce à la capture du jeton (OAuth) est persistant, le pirate ayant alors une connexion constante aux services liés, dont Outlook, Teams et OneDrive. La validation de cet accès permet au pirate de ne plus avoir besoin du mot de passe, ni de repasser par un autre facteur. Du moins si la configuration du compte est celle par défaut, car d’autres mécanismes peuvent se greffer ou modifier ce flux en entreprise.

Redoutable

Selon plusieurs entreprises spécialisées dans la sécurité, dont BitDefender, la technique est redoutable : puisqu’il s’agit du détournement d’un service authentique existant, « il n’y a pas de faux site à repérer, ni de nom de domaine mal orthographié. Le jeton volé unique peut débloquer d’autres applications cloud, transformant potentiellement un clic négligent en un incident de sécurité à grande portée ».

Comme on a pu le voir par le passé, la technique n’est pas nouvelle. Mais elle demandait jusqu’à présent certains efforts dans la mise en place de serveurs spécifiques, la création de sites mimant les pages de Microsoft et la diffusion des emails de phishing. C’est là qu’intervient la plateforme Kali365 qui permet, pour environ 250 dollars par mois (ou 2 000 dollars par an), de générer par IA des leurres efficaces. Cette « suite » donne également accès à des tableaux de bord pour suivre les campagnes en cours et des modèles automatisés pour lancer des attaques.

• Une vaste campagne de phishing contre des clients Microsoft 365 contourne l’authentification multifacteurs
• De fausses applications Microsoft 365 pour voler des jetons d’authentification

Kali365 semble être apparue en avril, ce que confirme également le FBI. BitDefender, qui avait relevé son existence, indiquait alors que durant ce seul mois, des centaines d’attaques avaient été repérées en Amérique du Nord et en Europe.

« Grâce à l’abonnement à la plateforme Kali365, les cyber-acteurs peuvent capturer des jetons « OAuth » et obtenir un accès permanent aux environnements Microsoft 365 des individus ou entités ciblés. Kali365 abaisse la barrière d’entrée, offrant aux attaquants moins techniques un accès à des appâts de phishing générés par l’IA, des modèles de campagnes automatisés, des tableaux de bord ciblés en temps réel pour le suivi individuel et des entités, ainsi que des capacités de capture de tokens OAuth », résume ainsi le FBI.

Que faire ?

Les conseils donnés par le Bureau ou les entreprises de sécurité sont sans surprise dans ce contexte. En priorité, mettre en place une politique d’accès conditionnel dans les entreprises, c’est-à-dire définir précisément quel type d’appareil a le droit de se connecter au réseau. En instaurant ce type d’accès, on bloque le flux d’appareils, avec d’éventuelles exceptions pour certains cas très précis, comme pour les applications et processus métier.

Il est également conseillé d’auditer le flux des jetons émis pour identifier les dépendances légitimes, de bloquer les politiques de transfert d’authentification et d’exclure les comptes d’accès d’urgence si l’utilisation des codes ne peut pas être restreinte. En outre, remplacer le deuxième facteur par un moyen ne pouvant faire l’objet d’un vol par phishing, comme les clés matérielles, rend caduc ce type d’opération.

Il s’agit cependant de conseils pour les entreprises. Même si le grand public est moins souvent visé, l’automatisation des attaques peut faire basculer la pratique. Les conseils sont alors moins spécifiques, le premier d’entre eux étant toujours de vérifier soigneusement le domaine de l’expéditeur et les liens dans l’email. L’examen des mots et phrases peut également renseigner sur le sérieux du contenu. L’utilisation de suites de sécurité peut également aider.

Interrogée par The Hill le 15 juin, Microsoft indique simplement qu’il est recommandé de suivre les conseils du FBI. Le porte-parole ajoute que l’entreprise avait déjà fait tomber plusieurs réseaux de ce type, dont Raccoon365. « Plus largement, Microsoft œuvre activement à perturber les écosystèmes cybercriminels derrière le phishing en tant que service et les activités de prise de contrôle de comptes afin de protéger nos clients », déclare-t-il.

L’authentification multifacteurs en elle-même n’est pas remise en question. Il faut simplement se rappeler qu’il s’agit d’une protection supplémentaire et qu’une faille humaine est toujours possible.

Pas de chichis

L’Inde a ordonné un blocage temporaire de Telegram jusqu’au 22 juin. Le pays craint que des fraudeurs utilisent la plateforme de messagerie pour cibler des candidats avant une session du plus grand examen d’entrée du pays.

La mesure a été annoncée le 16 juin sur X par la NTA (National Testing Agency), l’organisme qui gère le NEET (National Eligibility Entrance Test, Undergraduate), un examen d’entrée en médecine passé par des millions d’étudiants chaque année. Selon l’agence, ces restrictions visent à empêcher des réseaux de tricherie d’utiliser Telegram pour vendre de fausses copies d’examen et diffuser de la désinformation avant la session du NEET prévue le 21 juin, comme relevé par TechCrunch.

Blocage et modifications

Les restrictions comportent deux volets :

• Une interdiction nationale et temporaire de Telegram jusqu’au 22 juin
• Une demande à la plateforme de désactiver sa fonction de modification des messages jusqu’au 30 juin, l’agence estimant que cette fonctionnalité a déjà servi à fabriquer de fausses preuves de fuites de sujets après le passage des épreuves

La NTA justifie ces deux mesures comme prises « dans l’intérêt de l’ordre public, en réponse à l’utilisation organisée de la plateforme par des réseaux de tricherie pour escroquer les candidats du NEET 2026 ». Juridiquement, l’ordre donné par l’agence repose sur la Section 69A de la loi indienne sur les technologies de l’information.

D’inévitables critiques

Sans surprise, la décision a immédiatement suscité des critiques, dont celles de l’Internet Freedom Foundation, qui la qualifie de « solution superficielle et disproportionnée face à la fraude aux examens » dans une publication sur X. Elle fait valoir que la section est faite pour bloquer l’accès à une information et ne devrait donc pas être utilisée pour forcer un éditeur à supprimer une fonction pour l’ensemble du pays.

Pavel Durov, patron de Telegram, a d’ailleurs repris le communiqué sur X : la décision « punit plus de 150 millions d’utilisateurs ordinaires de Telegram en Inde, et pas les initiés qui ont divulgué les documents d’examen. Et l’interdiction n’a rien arrêté. Les fuites ont simplement migré vers d’autres applications ». Constat partagé par d’autres personnes sur X, avec signalements de sujets d’examens vus sur X et dans des canaux WhatsApp. « Évidemment », a commenté Pavel Durov. Telegram conteste la décision de blocage devant la Haute Cour de Delhi, indique The Free Press Journal.

Cette décision radicale peut être également vue comme un aveu d’échec pour l’agence indienne. TechCrunch rappelle en effet que NEET a été secoué par un scandale en mai à cause d’une importante fuite sur les sujets, avec à la clé une enquête fédérale.

Dans un billet paru ce 16 juin, la fondation Mozilla annonce le lancement d’une nouvelle page baptisée simplement Firefox Roadmap. Elle a pour mission de montrer les principales nouveautés en développement pour le navigateur, en fonction de la plateforme visée (ordinateur, Android et iOS).

« La feuille de route met en lumière ce sur quoi nous travaillons sur Firefox, notamment la productivité, la confidentialité, les performances, l’IA et les technologies qui contribuent à améliorer le web pour tous », indique simplement Mozilla.

Certains éléments sont déjà connus, comme la refonte Nova à venir que nous évoquions le mois dernier, ou encore les apports de Firefox 152, lancé mardi. D’autres vont arriver prochainement, comme les groupes d’onglets sur iOS (ils sont disponibles depuis hier sur Android).

Certaines fonctions en développement sont particulièrement attendues. Par exemple, des améliorations significatives pour l’éditeur de PDF, avec possibilité de diviser, fusionner et réorganiser les documents. Mozilla prévoit également d’ajouter des raccourcis clavier personnalisables dans son navigateur, la possibilité de partager des collections de liens (favoris et groupes d’onglets), des améliorations pour le remplissage automatique ou encore la capacité de sélectionner un contenu web pour l’afficher dans une fenêtre flottante toujours visible.

Du neuf est également prévu sur la partie confidentialité, comme l’arrivée du VPN dans les versions mobiles. La fenêtre de navigation privée permettra de son côté de supprimer les cookies en un clic. Mozilla travaille en outre à intégrer nativement dans Firefox son extension Multi-Account Containers, qui permet de créer des conteneurs distincts pour chaque service. Le blocage des publicités est prévu sur iOS et le support des clés d’accès (passkeys) doit arriver pour la version desktop.

Notez que si la liste permet d’avoir une vue d’ensemble du travail de Mozilla, elle ne fournit aucune date ni même fenêtre de lancement.

Pour se dégoogloolilouliser

La nouvelle mouture d’e/OS/ vient consolider la stratégie de Murena sur son écosystème. Plutôt qu’un bouleversement technique, l’offre propose une vision étoffée et clairement axée sur la simplicité de transition depuis Android. La migration prend même désormais Gmail en charge.

La nouvelle mouture du système e/OS/ de Murena est disponible depuis quelques jours pour les téléphones compatibles. Certains appareils rejoignent la danse, comme le OnePlus Nord ou encore les Galaxy S9 et S9+ de Samsung. Pour ces derniers, une migration signifie un passage d’AOSP (Android Open Source Project) 12 à 15, ce qui nécessite un retour aux paramètres d’usine car la méthode de chiffrement a changé dans l’intervalle. Un avertissement spécifique sera affiché dans ce cas. Le support du Fairphone 3 reste assuré, comme Murena l’avait promis en avril.

Les nouveautés se concentrent sur l’écosystème

La plupart des nouveautés concernent l’écosystème Murena plutôt que le système lui-même, même si des apports sont quand même présents. Par exemple, BlissLauncher a reçu un ravalement de façade, avec entre autres une nouvelle série de fonds d’écran et quelques nouvelles icônes.

L’une des plus grosses nouveautés concerne l’assistant de migration, qui passe pour rappel par une page web et se sert du protocole WebUSB pour travailler. L’assistant prépare le terrain pour le passage à e/OS/ et vise spécifiquement les services Google. En plus des données classiques comme les contacts et calendriers, ou encore les données contenues dans Google Drive, il prend maintenant en charge Gmail. Toutes les informations collectées sont envoyées dans les équivalents de Murena, réunis dans sa suite Workspace.

Plusieurs apports d’ailleurs pour cette dernière, avec deux nouvelles applications : Sign et Meet. La première est une solution de signature électronique prenant en charge les fichiers PDF, Word et ODT, avec une pleine conformité à la réglementation européenne eIDAS. Les signatures simples sont exploitables par tout le monde, tandis que les signatures avancées et qualifiées requièrent un abonnement Premium (à partir de 1,99 euro par mois).

L’autre application, Meet, fait exactement ce qu’elle annonce : de la visioconférence, en référence directe au service de Google. Le service est chiffré de bout en bout et permet de vérifier les équipements et de flouter l’arrière-plan avant de rejoindre un échange.

Backup, Passwords et Maps pour « bientôt »

Si la version 4.0 du système pose essentiellement de nouvelles bases, elle sera suivie d’une mouture 4.1 dans les mois qui viennent. À son bord, trois applications majeures. Backup sera ainsi chargée de créer des sauvegardes plus ou moins complètes de toutes les données en passant par le compte Murena.

Passwords viendra combler une carence importante, puisque la synchronisation des mots de passe n’est pour l’instant possible que par l’extension pour navigateur. L’application permettra de remplir automatiquement les champs et préviendra en cas de fuite de données. Enfin, Murena aura sa propre application Maps. Une bêta a été lancée et Murena communiquera « bientôt » sur la manière d’y participer.

Nouveaux smartphones GS6

Murena n’a pas communiqué sur une date précise, mais les appareils ayant déjà e/OS/ 3 peuvent normalement transiter vers la nouvelle version 4. C’est le cas pour tous les smartphones vendus directement avec le système mobile, dont les Fairphone lancés avec e/OS/.

À ce sujet, Murena en profite pour lancer les GS6 (Pro) en partenariat avec Gigaset. Les deux smartphones se veulent abordables avec des caractéristiques cohérentes : 128 ou 256 Go de stockage, 8 Go de mémoire, une batterie amovible de 5 300 mAh, un écran OLED 6,67 pouces de 1080 × 2400 pixels (394 ppi) à 120 Hz, un SoC MediaTek Dimensity 7300 (4 + 4 cœurs), du Wi-Fi 6e, du Bluetooth 5.4, deux emplacements SIM ou encore un bouton de confidentialité personnalisable. Le tout dans un format 163 × 76 × 10,5 mm pour un poids de 230 g et une certification IP68.

Le modèle 128 Go est proposé à 339 euros et le modèle 256 Go (Pro) à 449 euros. Les emballages sont annoncés comme dépourvus de plastique.

La nouvelle mouture du navigateur de Mozilla est désormais disponible. La mise à jour attend déjà sagement que vous redémarriez le navigateur pour s’installer.

Firefox 152 commence par rénover la page des paramètres. L’organisation générale reste à peu près la même, mais le nouvel affichage se veut plus clair, avec des réglages mieux mis en avant, des regroupements plus évidents et un accès présenté comme simplifié.

Le navigateur intronise également une série d’ajouts assez sympathiques. Par exemple, depuis la barre d’adresses, si l’on écrit « mute », « shush » ou « sssh » ou que l’on passe par l’action rapide dédiée, on peut rendre silencieux l’ensemble des onglets. Dans une fenêtre de navigation privée, recharger une page fait maintenant apparaitre une barre proposant de désactiver temporairement le bloqueur de traqueurs, dans le cas où celui-ci engendrerait des problèmes de rendu.

Sur Windows et Linux, un clic droit sur un onglet affiche maintenant une ligne « Partager » dans laquelle on trouve l’entrée « Copier le lien ». Il permet de récupérer directement le lien de la page, plutôt que de se rendre dans l’onglet et de cliquer dans la barre d’adresse. Certaines extensions existent cependant pour rendre la manipulation encore plus directe, la fonction apparaissant dans le menu contextuel sans passer par une arborescence.

Enfin, dans les Firefox Labs, signalons l’apparition d’une nouvelle expérimentation : le support du JPEG XL. Dans ses notes de version, Mozilla indique que ce format d’image doit permettre une meilleure compression que WebP, JPEG, PNG et GIF.

Comme toujours, la nouvelle version colmate une série de failles de sécurité. Sur la quarantaine référencées, 13 sont considérées comme de sévérité haute ou critique. Mieux vaut donc ne pas tarder à mettre à jour.

Indexation et vexation

De nombreux utilisateurs s’étant aventurés sur les terres (pas si arides) de la première bêta d’iOS 27 ont peut-être remarqué que le système semble constamment en cours d’indexation. C’est « normal », mais on peut obtenir des informations plus précises.

D’abord, qu’est-ce qu’une indexation ? C’est l’opération par laquelle un système d’exploitation (ou n’importe quel logiciel) crée un catalogue à partir d’informations existantes. Cette technique est très largement utilisée par tous les mécanismes de recherche. Google utilise par exemple des robots d’indexation pour relever les informations présentes sur les sites web.

L’opération peut prendre du temps, voire beaucoup de temps selon la quantité de données. Les métadonnées jouent un grand rôle dans la construction de cet index. Quand un système comme iOS ou même Windows indexe les contenus, il rassemble au même endroit des informations jugées pertinentes qui permettent de retrouver aisément les données concernées.

iOS 27 recommence tout depuis zéro

L’efficacité d’un index dépend directement des fonctions qu’on veut lui attacher, donc de la manière que les utilisateurs pourraient utiliser la recherche associée. Dans le cas d’iOS et macOS 27, l’arrivée de Siri AI rebat justement les cartes.

Tel que présenté lors de la WWDC 2026, et comme nous avons pu le vérifier, poser des questions à l’assistant d’Apple creuse désormais dans à peu près tous les contenus possibles et imaginables : messages divers, emails, photos et vidéos, etc. Ce qui représente un nombre beaucoup plus important de données que jusqu’ici au sein d’un index dont la construction est sans doute différente elle aussi.

• Aperçu de Siri AI sur iOS 27 : Apple a-t-elle sauvé le soldat Siri ?

Conséquence, l’opération peut être très longue. Quand on se rend dans les paramètres d’iOS, on est accueilli par le même message (en anglais) : « Indexation en cours. Vous pouvez utiliser votre iPhone comme d’habitude. L’indexation améliore la recherche et peut prendre du temps. Des sessions de recharge plus longues aident l’indexation à aller plus vite ». Le tout accompagné d’un lien qui ne nous renseigne pas davantage, car il renvoie vers une vieille ressource consacrée à macOS 13 et versions ultérieures, pour reconstruire en cas de problème.

Comment savoir où en est précisément l’opération ?

Sur deux iPhone de la rédaction, l’opération semble continuer indéfiniment depuis une semaine, quand nous avons installé la première bêta d’iOS 27 (dont la qualité générale et la réactivité surprennent agréablement). Certes ces deux iPhone contiennent des années cumulées de données en tout genre, mais une semaine nous semble quand même bien long.

Il existe cependant une méthode pour obtenir une information plus précise : le pourcentage de réalisation de cet index. Comme indiqué par 9to5Mac, il faut malheureusement un Mac (même si macOS 27 n’est pas nécessaire) :

• Connectez l’iPhone au Mac
• Sur le Mac, lancez Console
• Dans le menu Action, activez l’option « Inclure les messages de débogage »
• Dans la barre latérale, sélectionnez l’iPhone
• Dans le champ de recherche en haut à droite, écrivez : « spotlight indexing progress »
• Cliquez sur le bouton Démarrer (en forme de bouton de lecture)
• Si tout se passe bien, une ou plusieurs lignes « PipelineCompleteness » devraient s’afficher avec un pourcentage : c’est celui que l’on cherche

Dans notre capture, on peut voir que l’indexation n’en est qu’à 45 % en une semaine.

Précisons deux points. D’une part, la progression de l’opération semble très liée aux longues sessions de recharge. Or, le propriétaire de l’iPhone ne fait que de courtes sessions, car le remplissage de la batterie est volontairement limité à 80 %. D’autre part, le moteur d’indexation est neuf et commence à peine sa carrière, dans une première bêta du système d’exploitation. Il pourrait donc y avoir divers bugs, ou au moins un manque d’optimisation dans les calculs.

Enfin, il n’est pas nécessaire d’avoir un index terminé pour utiliser Siri AI, comme nous l’avons montré récemment. En revanche, les résultats seront plus ou moins pertinents selon que l’index est bien avancé ou pas.

Mise au pas

Le Premier ministre, Sébastien Lecornu, a fait mardi matin une série d’annonces sur l’intelligence artificielle. En ligne de mire, mise à disposition dans les administrations, stratégie nationale et, bien sûr, souveraineté numérique, alimentée par des moyens supplémentaires.

Article mis à jour à 15h23 avec des précisions de Matignon et Palantir au sujet du fait que la DGSI continuera, dans un premier temps, à utiliser la solution logicielle du géant états-unien.

---

La France passe à l’attaque, selon Sébastien Lecornu. Le Premier ministre, dans une vidéo publiée sur X ce 16 juin à 7h40, liste une série d’actions entreprises au niveau de l’État pour généraliser l’intelligence artificielle partout où elle est décrite comme pertinente. « Car le temps des expérimentations est désormais derrière nous, le temps de la généralisation commence », assène le Premier ministre.

À la veille de l’ouverture du salon VivaTech à Paris, le gouvernement veut montrer qu’il est conscient du changement qui s’opère : « Comme l’électricité hier, comme Internet il y a 30 ans, l’intelligence artificielle va changer notre manière de produire, de soigner, d’apprendre, de nous déplacer, de nous informer, voire même peut-être de penser ». Il y a donc « responsabilité », selon Sébastien Lecornu, de faire profiter de cette révolution aux usagers, que ce soit pour protéger la souveraineté, renforcer les services publics et permettre « à la France de rester une grande nation scientifique, industrielle et technologique ».

Début de généralisation

L’allocution du Premier ministre, au-delà de faire un point rapide de la situation, contenait surtout une série de six annonces pour « changer d’échelle » :

• La mise à disposition d’un « agent conversationnel souverain commun » pour l’ensemble des agents publics (il s’agit en fait des agents de l’Etat, soit 1,8 million de personnes tout de même, chiffre confirmé par le ministère de l’Economie et des Finances)
• Les technologies « les plus avancées » développées par le ministère des Armées seront « progressivement ouvertes aux autres administrations », à commencer par les ministères de la Justice et de l’Intérieur, via notamment le portail GenIAI « qui a démontré son efficacité dans des environnements particulièrement exigeants » et qui sera déployé dans toutes les administrations régaliennes
• Un assistant santé publique déployé dans Ameli d’ici la fin de l’année, pour proposer de premières orientations « fiables », mieux guider les usagers et plus généralement trouver rapidement la bonne réponse
• Une démocratisation de l’accès aux données publiques, avec le lancement d’une plateforme unique dédiée à l’IA pour accéder à des informations comme les données démographiques, économiques, géographiques et administratives
• La France investira 665 millions d’euros supplémentaires au développement de l’IA dans le cadre du projet France 2030 pour « soutenir les infrastructures, les capacités de calcul, la recherche, les entreprises et les filières industrielles qui feront la puissance de demain »
• Un axe sur la souveraineté numérique, avec l’annonce de l’abandon du « géant américain » Palantir au profit de la solution française ChapsVision, « retenue aujourd’hui par la DGSI »

Le calendrier de la dernière annonce ne manquera pas d’interroger puisque le contrat liant la DGSI à Palantir avait été renouvelé en décembre 2025 pour trois ans. « Le choix de ChapsVision est le résultat d’un processus de sélection, qui n’était pas achevé en décembre dernier. Pour ne pas souffrir d’un trou capacitaire dans ce domaine sensible essentiel pour notre sécurité nationale, le contrat a été renouvelé. Cette phase permettra le temps nécessaire de former les équipes et préparer la migration vers la solution de ChapsVision », répond à ce sujet Matignon à Raphaël Grably de BFMTV.

Cherchant à déminer les accusations de « coup de com’ », Matignon précise à BFMTV que le « débranchage » de Palantir par la DGSI sera fait d’ici « 1 à 3 ans selon le moment le plus opportun », et donc potentiellement avant la fin du contrat renouvelé en décembre dernier, qui court jusqu’à fin 2028. Contacté, Palantir assure de son côté à BFMTV que « le contrat de long terme qui lie l’entreprise à la DGSI, et renouvelé fin 2025 pour plusieurs années, demeure pleinement en vigueur ».

Les ministères sont prévenus

Après ces annonces principales, le Premier ministre a ajouté une contrainte pour les ministères, pour préparer notamment le projet de finances 2027. Ainsi, chacun « devra démontrer comment il utilise l’intelligence artificielle pour simplifier les démarches, améliorer le service rendu aux Français et réduire les tâches inutiles, notamment remplies par nos propres agents, et donc faire des économies sans diminuer la qualité du service public rendu à la nation ». Les ministères sont avertis que cette « capacité à se transformer sera désormais prise en compte dans les arbitrages budgétaires », afin de « stimuler cette transformation et mobiliser davantage les ministres et les patrons des grandes entreprises ».

« L’État doit récompenser l’innovation, l’État doit encourager l’efficacité, l’État ne financera plus l’immobilisme, il doit financer désormais sa propre transformation. Car chaque heure gagnée grâce à l’intelligence artificielle est une heure rendue aux Français, chaque procédure simplifiée est une liberté retrouvée, chaque économie réalisée est une ressource supplémentaire pour nos priorités », ajoute le Premier ministre.

Des annonces à surveiller

Bien que ces annonces visent à montrer un gouvernement volontaire dans son approche et conscient des révolutions entraînées par l’intelligence artificielle, une certaine vigilance est de mise. Par exemple, on ne sait pas si les 665 millions d’euros supplémentaires alloués à France 2030 sont une nouvelle somme débloquée ou un simple redéploiement au sein de l’enveloppe générale du projet. Pas de calendrier concret non plus pour le déploiement de l’assistant conversationnel pour les agents publics, contrairement à celui pour Ameli, indiqué pour cette année, donc au cours des six prochains mois.

On ne sait rien non plus de l’entraînement et de l’inférence des modèles qui seront utilisés dans les administrations. Rien n’est dit sur la puissance de calcul et les infrastructures utilisées. Dans ce domaine, comme presque tout le monde, la France est tributaire de grandes entreprises américaines, NVIDIA en tête, même si les serveurs physiques sont en France.

La question d’un assistant performant dans Ameli est en outre intéressante. Le stockage des données de santé par le Health Data Hub chez Microsoft a provoqué bien des remous ces dernières années, avant finalement d’échoir à Scaleway en avril, comme l’a rappelé le Premier ministre. L’accès à ces données est particulièrement sensible et la portée de l’assistant n’a pas été précisée.

Cap sur la formation

On en apprend cependant un peu plus dans un document publié il y a quelques heures par le ministère de l’Économie et des Finances, notamment sur la gestation du projet L’Assistant qui doit équiper tous les agents de la fonction publique.

Le document indique par exemple qu’il a été en test ces dix derniers mois auprès de 10 000 agents provenant de six ministères (Justice, Finances, Éducation nationale, Culture, Enseignement supérieur et Recherche, Services du Premier ministre). Les fonctions abordées sont classiques : résumés, reformulations, extractions d’informations dans des rapports, traductions, et plus récemment RAG, pour créer des bases documentaires dédiées. L’évaluation a été menée par la DITP (Direction interministérielle de la transformation publique), avec la collaboration (entre autres) de chercheurs venant de LaborIA (Inria), du Laboratoire Fabrique de Pensée Critique (INSA Rennes) et du LISIS (CNRS). Selon le document, 75 % des agents auraient trouvé L’Assistant utile à leur métier.

D’autres points sont abordés, dont la formation. L’État vient ainsi de mettre à disposition un « Guide d’usage de l’IA » pour les agents publics (accès public), invités à le consulter. Il s’agit d’une première étape, le gouvernement précisant que le manque de formation est une remontée fréquente. Plus d’un tiers des agents ont ainsi déclaré n’en avoir jamais bénéficié et 31 % ne pas connaitre le cadre d’usage quand des usages existent.

Le cadre général de formation est cependant encore en construction, même si ce deuxième document promet des avancées rapides, en coopération avec les syndicats concernés. En plus d’un rassemblement de toutes les ressources liées dans un même accès, l’État réitère son ambition de former autant d’agents que possible d’ici 2027, ce qui suppose un démarrage en trombe à la rentrée. Un accent particulier sera mis sur les managers.

Sur le sujet des compétences, il est également question de généraliser l’enseignement de l’IA dans les écoles du service public, à savoir les Instituts régionaux d’administration (IRA) et les futurs Instituts du service public (ISP). En outre, le gouvernement souhaite réinternaliser autant que possible les compétences du numérique d’ici 2027. Le calcul est simple selon le document : « Chaque euro investi dans le recrutement de compétences internes permettra de supprimer durablement 1,5 euro de dépenses de prestations externes, tout en renforçant la maîtrise par l’État de ses compétences les plus critiques ».

Nouvelle version pour le noyau Linux, qui présente comme d’habitude une série d’améliorations dans le support matériel. Côté AMD par exemple, le pilote amd-pstate prend maintenant en compte Dynamic EPP (Energy Performance Preference), qui permet de basculer automatiquement entre les profils énergétiques. Par exemple, un portable peut être sur Performances quand il est raccordé et basculer automatiquement sur Équilibré quand il est sur batterie.

Du côté d’Intel, FRED (Flexible Return and Event Delivery) est désormais activé par défaut. La technologie (qui a commencé à être intégrée dans le noyau 6.9), rend les transferts entre niveaux de privilège du processeur plus rapides. Les gains sont plus sensibles dans les charges lourdes, comme la production audio. FRED devrait également être présent dans les futurs processeurs Zen 6.

On trouve également plusieurs améliorations diverses notables. Par exemple, le noyau 7.1 corrige le problème avec la partie audio du Steam Deck en version OLED, ce qui ouvre la console portable à d’autres systèmes. Les disques exFAT reçoivent une amélioration importante avec l’arrivée de la pré-allocation pour revendiquer des espaces contigus lors des opérations, réduisant drastiquement la fragmentation.

Le noyau 7.1 fait également l’objet de nombreuses petites opérations de ménage, supprimant d’anciens pans de code, liés surtout à d’anciens matériels et protocoles. 140 000 lignes de code ont ainsi disparu. Comme le signale notamment 9to5Linux, le code lié à la plateforme i486 commence à être supprimé, les options de compilation pour les sous-architectures M486, M486SX et ELAN ayant disparu. Le code permettant de supporter ces architectures est cependant toujours là.

Pour les personnes manipulant régulièrement des partitions NTFS (Windows), le noyau 7.1 représente aussi une avancée importante, note Phoronix. Un nouveau pilote s’occupe de ce système de fichiers propre à Microsoft, avec à la clé de meilleures performances, le support complet en lecture/écriture et la prise en charge d’un plus grand nombre de fonctions.

Comme toujours avec les nouvelles versions du noyau, la mise à jour dépendra de la distribution utilisée. Certaines – particulièrement en rolling release – peuvent les mettre rapidement à disposition, quand d’autres – en release classique – attendent le plus souvent leur mouture majeure suivante pour introduire ce type de changement.