Souriez, vous êtes filmés

Vous allez voir que l’IA rapprochera les humains et profitera à tous, affirme Meta dans sa dernière campagne de pub. Ce discours optimiste se heurte à une réalité qui a la tête dure.

Les craintes, voire la haine, que suscitent l’IA générative chez certains sont largement alimentées par les agissements et la communication désastreuse des grands acteurs du secteur. OpenAI ressemble à un bateau ivre emmené par des capitaines en totale roue libre, Anthropic annonce régulièrement l’apocalypse, SpaceXAI cache son usage massif de turbines à gaz pour son centre de données géant, tandis qu’une économie circulaire s’est mise en place qui brasse des centaines de milliards de dollars au profit d’une poignée de dirigeants… aspirant au passage les capacités de production de mémoire, ce qui fait exploser les prix des ordinateurs et des consoles. Sans oublier le tropisme militaire très appuyé des labos IA, les conséquences environnementales des datacenters, le pillage généralisé des œuvres de l’esprit, ou encore la hausse des prix de l’énergie, le tout avec l’aide très visible des gouvernements.

Une technologie difficile à aimer

Le tableau n’est donc pas spécialement glorieux. Histoire de redresser la barre, Meta a produit un spot de pub à la gloire de l’IA dans lequel le groupe – qui investit sans compter dans cette technologie – se veut optimiste pour l’avenir. « Certains voudraient vous faire croire que l’IA nous isolera davantage, qu’elle finira par nous laisser sur le bord du chemin », explique la réclame. « Nous ne pourrions être plus en désaccord. Traitez-nous d’optimistes, de rêveurs. Comme nous l’avons toujours fait, nous misons sur les gens », poursuit Meta.

Les mauvais esprits auront relevé que la chanson de David Bowie qui illustre la publicité, « Five Years », parle de… fin du monde, comme s’en amuse TechCrunch. L’humanité n’a plus que cinq années à vivre, chante-t-il. Pas sûr que ce spot rassure les personnes inquiètes du nouveau monde merveilleux promis par Meta !

L’ironie n’a en tout cas pas atteint Mark Zuckerberg, qui écrit sur Facebook que « que nous entrons dans cette nouvelle ère de l’IA, [et] nous continuons de penser que l’avenir appartient à tout le monde. Nous voulons donner à chacun les outils nécessaires pour réaliser pleinement son potentiel et veiller à ce que les bénéfices de la technologie profitent à tous. »

Un discours en droite ligne avec la « vision » du fondateur et patron de Meta sur la « superintelligence personnelle », autrement dit d’une IA au service de tous. Un projet qui se concrétise entre autres par les lunettes connectées embarquant l’assistant maison, Meta AI. Malgré les belles paroles sur une IA qui libérerait l’humanité de ses chaînes, Meta reste Meta et cherche à transformer le succès de ces produits en outil de surveillance généralisée : l’entreprise tente depuis quelques temps d’intégrer en douce une fonction de reconnaissance faciale, et réfléchit à un système qui enregistrerait tout, tout le temps.

• #Flock : fermez les yeux avec les lunettes Meta

Quand les lunettes dérapent

Meta ne veut cependant pas tuer la poule aux œufs d’or. La réputation de ses lunettes, conçues en partenariat avec EssilorLuxottica, commence en effet à se dégrader en raison de l’utilisation malsaine que certains font de ses capacités d’enregistrement vidéo. On a vu fleurir ces derniers mois sur les réseaux sociaux des vidéos de type « caméra cachée » (blagues douteuses, drague lourde) postées par des petits malins qui bidouillent la loupiotte de leurs lunettes pour éviter de prévenir qu’un enregistrement est en cours.

Meta va serrer les boulons pour empêcher l’enregistrement vidéo en cas de diode trafiquée. Nul doute que d’autres solutions émergeront pour contourner cette protection ; et puis une petite lumière n’est parfois pas suffisante pour alerter les gens alentour (qui ne connaissent pas tous nécessairement ces appareils).

En attendant, Instagram a décidé de sévir : Adam Mosseri, le patron du réseau social, a annoncé que les vidéos de ce type seront retirées. « Si vous publiez du contenu qui exploite des personnes ou les harcèle, comme beaucoup de ces vidéos de techniques de drague dont nous avons entendu parler et que nous avons vues, nous supprimerons ce contenu », a-t-il expliqué dans une Story.

Le dirigeant ajoute : « Nous ne voulons pas que des personnes filment discrètement d’autres gens, les harcèlent, puis publient ces vidéos sur notre plateforme. Nous essayons donc de lutter contre ce phénomène par tous les moyens possibles. » Les comptes de deux « coachs en séduction », qui comptaient plus d’un million d’abonnés, ont ainsi été désactivés. Ils se filmaient en train d’aborder des femmes dans les lieux publics avec des lunettes Meta.

L’entreprise veut absolument éviter que le surnom qui commence à émerger pour ses lunettes (« pervert glasses », ou « lunettes de pervers ») ne leur colle à la peau. Il est peut-être déjà trop tard. Meta peut bien promettre une IA qui rapproche les humains et « libère leur potentiel » : quand ses produits basés sur l’IA servent à filmer des inconnus à leur insu pour les exposer devant des millions de personnes, le discours publicitaire se prend rapidement le mur de la réalité.

Sur internet, personne ne sait que vous êtes une IA… sauf avec un badge « vérifié ». Meta vient de lancer un nouveau programme Facebook Verified pour aider les humains du réseau social (mais en reste-t-il ?) à communiquer avec d’autres humains. Il s’agit d’un badge avec une coche, affiché à côté du nom du profil.

La vérification est gratuite, mais elle nécessite l’enregistrement d’un selfie vidéo. Ce dernier est ensuite comparé aux photos du profil pour confirmer que l’utilisateur est bien la personne qu’il annonce être. Le processus est rapide, promet Meta.

Au vu des informations que possède l’entreprise sur ses utilisateurs, un selfie vidéo de plus ou de moins ne changera probablement pas grand-chose, mais l’opération implique tout de même de confier à Meta une donnée biométrique supplémentaire.

Le programme est ouvert à tous les utilisateurs de Facebook âgés de 18 ans et plus, qui respectent les standards de la communauté, notamment les règles interdisant la fraude, les arnaques et les pratiques trompeuses. Le comportement de l’utilisateur ne devra présenter aucun signe de comportement non authentique. Le déploiement se fera progressivement, pays par pays.

Le badge « vérifié » sera visible sur les profils du Marketplace, du service Rencontres, des groupes et du profil pour commencer. À terme, les coches feront leur apparition dans les publications du fil d’actualité, ce qui ne sera pas inutile sur un réseau social où les IA et les contenus générés par IA pullulent. « Il devient essentiel de pouvoir distinguer clairement les vraies personnes », reconnait le groupe.

• Le boss de Meta se dote d’un clone généré par IA

Nouvelle étape dans l’enquête au long cours sur TikTok que mène la Commission européenne depuis février 2024. Sans vraiment de surprise, les conclusions préliminaires publiées aujourd’hui par Bruxelles indiquent que le réseau social ne protège pas suffisamment les comptes des mineurs, alors que c’est une obligation du règlement sur les services numériques (DSA).

Le nœud du problème demeure dans les réglages de confidentialité. Sur TikTok, les mineurs ont la possibilité de rendre leur compte public : les contenus postés sont alors visibles par tous, y compris par des personnes qui n’ont pas de compte TikTok. Les contenus des mineurs de 16 - 17 ans peuvent même être recommandés à n’importe quel autre utilisateur du réseau social dans le fil « Pour toi ».

La Commission estime aussi que la protection d’un compte « privé » est insuffisante : le profil peut être retrouvé dans les listes d’abonnés et d’abonnements des autres utilisateurs. Par ailleurs, la photo de profil reste visible publiquement. Cette exposition augmente les risques de contacts indésirables, de harcèlement en ligne et de comportements prédateurs. Tous ces contenus publiés par des mineurs peuvent rester en ligne pour toujours, et avoir des conséquences par la suite.

Les comptes publics des utilisateurs les plus jeunes devraient donc être bien plus verrouillés, selon l’exécutif européen qui voudrait que ces contenus ne soient visibles que par les utilisateurs que les mineurs ont acceptés. Les 16 - 17 ans pourraient conserver la possibilité de partager plus largement sur TikTok, sans que leurs contenus soient accessibles à l’ensemble du web. Et l’entreprise devrait cesser de recommander les contenus de mineurs dans le fil « Pour toi ».

« Le DSA impose aux plateformes d’intégrer la protection des mineurs dès la conception de leurs services, et les tient responsables lorsqu’elles ne le font pas », rappelle Henna Virkkunen, vice-présidente chargée de la souveraineté technologique. « Un niveau de protection élevé ne devrait pas être une option à activer, mais le réglage par défaut. »

TikTok a maintenant la possibilité d’examiner le dossier monté par la Commission, et de répondre à ces allégations. Mais si Bruxelles confirme son analyse, le réseau social pourrait être condamné à une amende pouvant aller jusqu’à 6 % de son chiffre d’affaires annuel mondial.

Ce n’est pas le seul front qui oppose les autorités européennes à TikTok. En février, Bruxelles livrait ses conclusions préliminaires sur la conception jugée addictive du service.

• Cerveau en « pilote automatique » : l’Europe dénonce la conception addictive de TikTok

AI perçue, voire volée

Alors que les médias français s s’inquiètent des conséquence du lancement récent des Aperçus IA sur leur audience, plusieurs grands éditeurs états-uniens envisagent très sérieusement de couper les ponts avec Google, ce qui signerait symboliquement la fin du Web ouvert tel qu’on le connait depuis plus de vingt ans.

Le Web ouvert a-t-il vécu ? La question se pose de façon nouvellement pressante en France, où Google vient finalement de lancer ses fameux Aperçus IA (AI Overviews), qui répondent directement aux questions de l’internaute grâce à un résumé généré par intelligence artificielle, avant d’égrainer la traditionnelle liste de liens hypertextes vers les sites susceptibles de délivrer l’information recherchée.

Un exemple pour mieux comprendre de quoi l’on parle ? Cherchons des informations relatives au fonctionnement du noyau et des pilotes au sein d’un système d’exploitation, avec une requête très générique. Depuis quelques jours, Google ne se contente plus de retourner une liste de liens parmi lesquels on espèrerait voir apparaître le récent article de Vincent consacré au sujet.

Des résumés qui supplantent les publications sources

À la place, il intègre un bloc Aperçu IA qui synthétise les informations issues des pages Web considérées comme pertinentes. Ce bloc mentionne bien les sites dont les contenus ont alimenté la génération automatique, mais il en extrait une partie de la valeur pour la fournir directement à l’internaute, qui peut donc très bien se contenter de ce résumé, alors qu’il lui aurait fallu précédemment se rendre sur l’un ou l’autre des sites source.

Ce faisant, Google provoque un manque à gagner pour l’éditeur du site qui apparait dans les résultats de recherche, puisque ce dernier compte sur le référencement de son contenu pour générer une audience qu’il monétisera ensuite soit via de la publicité, soit via la vente d’abonnements ou de services.

« Le déploiement d’AI Overviews et d’AI Mode marque un basculement profond : la recherche glisse vers un modèle « zéro clic », où la réponse reste dans l’interface Google plutôt que de renvoyer vers les sites éditeurs », dénoncent dans un communiqué commun daté du 22 juillet le Syndicat des acteurs du marketing en ligne (CPA), le Syndicat de la presse indépendante d’information en ligne (Spiil) et le Groupement des éditeurs en ligne (Geste).

Les trois structures reprochent ouvertement à Google d’avoir lancé cette fonctionnalité sans concertation préalable avec le secteur, sans fournir d’outils permettant de mesurer l’impact réel sur l’audience renvoyée vers les éditeurs et sans avoir prévu de mécaniques de compensation, à l’image de ce qui a été fait autour des droits voisins sous l’impulsion de l’Autorité de la concurrence. « Pour les médias français et les acteurs du web, il ne s’agit plus d’une inquiétude théorique mais d’un risque existentiel », ajoutent les signataires, soulevant l’hypothèse de voies de recours en cas de dialogue infructueux avec le leader mondial de la recherche en ligne.

Pour les médias en ligne, le risque est effectivement existentiel, même s’il n’est pas franchement inédit : le secteur s’était déjà alarmé de la même façon quand les réseaux sociaux, Facebook en tête, avaient réduit la portée offerte aux publications issues de la presse, alors même que tous avaient investi des moyens et des ressources considérables pour optimiser leur présence sur ces plateformes.

Lutter contre l’érosion des audiences

Bon nombre d’éditeurs dépendent aujourd’hui très fortement de Google, dans la mesure où le moteur de recherche et son algorithme de recommandation Discover (l’outil qui suggère automatiquement des articles sur Android ou Chrome, particulièrement sur mobile) représentent aujourd’hui leur principale source de trafic. Pour tous ces acteurs, l’enjeu consiste désormais à réduire cette dépendance, et donc à multiplier les canaux d’acquisition de nouveaux internautes, tout en renforçant leurs liens directs avec leurs lecteurs actuels.

Le sujet est particulièrement critique pour les médias gratuits financés par la publicité, dont les revenus sont partiellement corrélés à l’audience. Plusieurs d’entre eux ont d’ailleurs pris le mors aux dents cette semaine, en communiquant directement sur le sujet.

« Moins de visites, ce sont donc moins de moyens pour continuer à tester des véhicules en conditions réelles, entretenir ces outils gratuits et défendre une ligne éditoriale libre sur la mobilité électrique. On ne va pas vous le cacher : être moins visible dans vos recherches représente donc un vrai risque pour nous, mais également pour tous nos confrères », écrit par exemple le site Automobile Propre (groupe Braxton), avant d’appeler explicitement ses lecteurs à s’inscrire à sa newsletter, à créer un compte, à s’abonner à ses comptes sociaux… ou à le suivre sur Google.

Même son de cloche du côté de Numerama (Humanoid, filiale du groupe Ebra), selon qui il est tout à fait probable que son site, « comme la plupart des sites web que vous lisez, disparaisse de Google ». Le ton ne se veut cependant pas défaitiste, au contraire : « Le site web a une grande importance, mais aujourd’hui, la majorité de nos lectures se font ailleurs : nous avons pleinement embrassé la nouvelle réalité pour les médias, qui doivent trouver le public où il est. Pas l’inverse, où nous fonçons dans le mur », explique son directeur des opérations, Julien Cadot, avant de détailler comment Numerama a investi tous les canaux de distribution disponibles, en misant notamment sur la vidéo. Lui aussi appelle les lecteurs à se connecter directement à Numerama, au travers par exemple de son offre de newsletters.

Désintermédier au maximum la relation avec le lecteur (autrement dit, établir un lien le plus direct possible) et multiplier les canaux de distribution, l’idée fait son chemin depuis des mois dans la plupart des colloques, cercles de réflexion et publications qui réfléchissent à l’avenir des médias en ligne. Reste que la dépendance à Google est toujours bien réelle. À tel point qu’outre-Atlantique, certains acteurs réfléchissent désormais à couper les ponts.

Des médias de premier plan réfléchissent à bloquer l’indexation par Google

L’utilisation des contenus en ligne pour l’entrainement des grands modèles de langage a déjà constitué une première pomme de discorde, mais le déploiement à grande échelle des Aperçus IA a catalysé la grogne. Testés depuis mai 2024 aux États-Unis, ceux-ci semblent en effet bien provoquer des baisses d’audience massives chez les médias en ligne.

USA Today aurait ainsi perdu 18 % du trafic associé au référencement naturel sur Google entre juin 2025 et juin 2026, d’après des mesures réalisées via Semrush (un outil d’optimisation et de mesure du référencement). « Il est temps de prendre position et de dire que ça suffit ! », a déclaré son directeur général, Mike Reed, cité par le Wall Street Journal. En réaction, le groupe (qui édite USA Today mais aussi des centaines de médias locaux) envisage de couper l’indexation de ses contenus par Google si la baisse se poursuit. Des réflexions seraient également en cours au sein d’organes tels que Politico, The Economist ou l’agence Reuters. Reddit, qui a pourtant signé un accord à 60 millions de dollars avec Google en 2024 pour l’autoriser à entraîner ses modèles sur son contenu communautaire, évaluerait aussi ses options, affirme le WSJ.

• https://next.ink/247099/des-editeurs-pourraient-disparaitre-de-google-pour-proteger-leurs-contenus-de-gemini/

Google, de son côté, répète à l’envi que les réponses générées par IA contribuent à la visibilité des contenus, et renvoient des milliards de clics vers les sites des éditeurs. Le moteur a par ailleurs annoncé début juin l’introduction d’une option permettant d’exclure son site des Aperçus IA au niveau de la Search Console (l’outil qui permet de visualiser les paramètres du référencement d’un site dans Google). Il promet que l’activation de cette option (non disponible dans notre propre Search Console) n’aura pas d’impact sur le classement des liens dans les pages de résultat.

En attendant, les éditeurs voient donc leurs contenus nourrir par défaut les résumés générés par IA, ce dont certains ne se satisfont pas : Penske Media, l’éditeur de Rolling Stone, Billboard, Variety et Hollywood Reporter, a déposé plainte contre Google en septembre 2025 en raison d’AI Overviews. L’entreprise de presse y considère que Google utilise son monopole « pour contraindre les éditeurs en ligne […] à fournir du contenu que Google republie sans autorisation dans des réponses générées par l’IA qui rivalisent de manière déloyale pour attirer l’attention des utilisateurs sur Internet, en violation des lois étasuniennes contre les monopoles ».

Certains, comme News Corp (maison mère du WSJ) ont déjà noué un accord avec Google et sont donc indemnisés pour l’utilisation faite de leurs contenus, mais quid des éditeurs qui ne sont pas en mesure de négocier, directement ou par l’intermédiaire d’une représentation, avec le moteur de recherche ? Si l’idée de se couper complètement de Google est séduisante, elle constitue un trade-off difficile à accepter. « L’audience peut être irrégulière et en baisse, mais l’audience reste l’audience », résume Josh Muncke, vice président en charge de l’IA chez The Economist auprès du WSJ.

Le Web ouvert a-t-il encore un avenir ?

D’un côté, il y a donc ce que le chercheur Olivier Ertzscheid décrit comme un pacte faustien imposé par Google : « laissez-moi indexer et réutiliser vos contenus et en échange vous serez visibles, ou empêchez-moi de le faire et l’audience de vos sites sera quasi nulle ».

Ceux qui en acceptent les termes travaillent d’ailleurs à l’adaptation de leurs contenus à l’avènement des moteurs génératifs : c’est le fameux Generative Engine Optimization (GEO), qui regroupe l’ensemble des techniques grâce auxquelles les éditeurs ou les marques essaient de doper leur visibilité dans les réponses fournies par les grands modèles de langage.

De l’autre, il y a la tentation de fermer au maximum les vannes, pour éviter qu’un tiers ne s’accapare la valeur associée au contenu informationnel.

Dans les deux cas, il y a une remise en cause du principe dit de Web ouvert (open web), qui désigne la façon dont une pluralité de sites coexistent de façon interdépendante et s’oppose à la logique de jardin fermé (walled garden) dans laquelle une plateforme contrôle à la fois la diffusion des informations, la collecte des données et la monétisation associée.

Google, qui a construit sa fortune sur le web ouvert, se défend bien sûr de toute menace. « De notre point de vue, le Web est en plein essor », affirmait Nick Fox, l’un de ses vice-présidents, en juin dernier. « Il n’y a probablement pas d’entreprise qui se soucie plus de la santé et de l’avenir du Web que Google ».

• Évoquant un « web ouvert en déclin rapide », Google s’emmêle les pinceaux

Reste que si Google concentre la valeur sur ses propres pages, l’entreprise (re)crée un jardin fermé, qui n’est pas à l’abri des risques de paupérisation. Après tout, que resterait-il à Google pour alimenter ses réponses générées par IA si tous les éditeurs qui investissent dans la production de contenus de qualité décidaient de fermer leurs portes à ses robots d’indexation ? Nos tests menés depuis le lancement des Aperçus IA en France confirment que ces derniers sont déjà parasités par des fermes à contenus eux-même générés par IA, et donc sujets à tous les risques d’hallucinations, d’interprétations fallacieuses ou de manipulation que l’on connait.

• Près de 40 % des Français visitent chaque mois des sites d’info générés par IA

« D’une certaine manière, Google se tire une balle dans le pied. Les entreprises spécialisées en IA cherchent désespérément de nouvelles données d’entraînement exemptes de bouillie générée par l’IA. En dissuadant activement les utilisateurs de consulter les sites web qui proposent de nouvelles informations, l’entreprise se prive d’une source essentielle de données dont elle a tant besoin », remarque Futurism.

Il ne fait guère de doute que la situation évoluera, à coup d’actions en justice ou d’évolutions réglementaires. En attendant, ce sont les utilisatrices et utilisateurs finaux qui restent les juges de paix, en décidant à qui, ou à quoi, ils accordent leur attention.

Du balais

La mini-saga de l’été autour des écrans LG vient de finir sa première saison. Le constructeur a supprimé sa publicité pour McAfee, mais le problème sous-jacent reste entier et LG se défend d’avoir mal agi.

LG est sous un feu nourri de critiques pour le comportement observé par de nombreuses personnes autour d’une partie de ses écrans, même dans le haut de gamme et jusqu’à des écrans proposés depuis plusieurs années. Depuis environ trois semaines, des propriétaires de moniteurs LG (essentiellement la gamme UltraGear) constatent qu’après un simple branchement de l’écran, le pilote est récupéré automatiquement par Windows, en même temps qu’une application dont le seul objectif semble être de la publicité pour McAfee.

• Comment un simple branchement d’écran illustre un vieux problème de Windows

Comme nous l’avions expliqué, LG exploite un mécanisme présent dans Windows depuis longtemps. Cependant, la documentation de Microsoft recommandait de faire attention avec les comportements déclenchés de cette manière s’ils ne répondaient pas à un besoin concret de l’utilisateur. Une application peut être utile pour fournir des fonctions liées, mais elle peut vite provoquer de la frustration quand elle est utilisée à d’autres fins. Dont acte.

Microsoft intervient, clap de fin (pour l’instant)

On pouvait se demander si Microsoft était au courant de la situation. Sur X le 18 juillet, Tim Sweeney, fondateur et CEO d’Epic Games, a directement interpelé Pavan Davuluri, vice-président de Microsoft à la tête de la division Windows et Appareils. Le lendemain, le responsable remerciait « Tim » et indiquait que l’entreprise se penchait sur la situation.

Le 22 juillet, Pavan Davuluri revient avec un nouveau message : « Merci encore d’avoir porté cela à notre attention. Nous avons pris contact avec l’équipe chez LG et, comme étape immédiate suivante, ils ont accepté de désactiver la fenêtre contextuelle McAfee dans leur application. Nous apprécions la collaboration de LG avec nous vers un objectif commun d’une meilleure expérience pour nos clients mutuels ». Un langage très policé au vu du contexte, mais au moins la situation progresse.

Pour LG, le choix de l’utilisateur a été respecté

« LG Electronics réaffirme que McAfee n’est pas installé automatiquement et n’est jamais installé sans le consentement explicite de l’utilisateur. Le programme d’installation de l’application LG Monitor est distribué via le processus officiel de distribution Windows de Microsoft, qui incluait McAfee en option. McAfee ne sera installé que si l’utilisateur choisit activement de poursuivre l’installation et donne son consentement. McAfee n’est en aucun cas installé automatiquement ou sans l’autorisation de l’utilisateur », nous a quand même indiqué le constructeur.

Il ne s’agit cependant que d’une partie du problème. Les personnes concernées avaient bien vu le choix, mais la frustration venait de la question qui leur était posée encore et encore. Gamer Nexus s’était largement penché sur ce comportement, indiquant que la notification était revenue 31 fois sur 32 redémarrages. On reste ainsi sur la volonté de profiter d’une fonction existante pour pousser automatiquement de la publicité.

En outre, la question du processus utilisé reste entière. Dans notre article précédent, nous nous interrogions sur le bien-fondé de cette fonction, qui permet une installation sans intervention de l’utilisateur. L’immense majorité des constructeurs en profite, mais n’a jamais commis l’erreur – grossière – de le faire sans demander la permission. MSI, Gigabyte, Logitech et d’autres font ainsi apparaître une fenêtre demandant si l’application peut s’installer. En cas de refus, la question ne revient pas, à moins d’une mise à jour majeure de Windows (la 25H2 de Windows 11 par exemple). D’autres, comme Razer, ont davantage tiré sur la corde, en installant notamment son application Synapse au branchement d’une webcam de la marque.

Si Tails 7.9 n’avait pas vraiment marqué par ses nouveautés (essentiellement quelques mises à jour logicielles), la version 7.10 comporte quelques changements plus visibles.

La modification la plus importante est la bascule du processus d’arrêt par défaut vers celui de GNOME. L’équipe justifie ce choix par une procédure certes plus lente, mais qui réduit les risques de pertes de données. Elle signale notamment aux utilisateurs les applications ouvertes avec des documents non sauvegardés.

Comme le montre la capture, le système s’éteindra dans tous les cas au bout de 60 secondes, que les documents aient été sauvegardés ou non. En outre, « l’arrêt d’urgence » – qui consiste à débrancher le média utilisé pour charger Tails – est toujours disponible, même s’il présente un risque accru de perte de données.

Pour le lecteur vidéo, l’équipe a fait le choix inverse : le lecteur vidéo de GNOME est abandonné au profit de Celluloid, présenté comme « plus moderne et plus fiable ». Au sein de Tails, Celluloid ne peut pas accéder au réseau. L’équipe conseille d’utiliser Tor Browser pour les vidéos en ligne (certains MP4, AVI…), tandis que les adresses vers des flux en streaming peuvent être ouvertes dans VLC. Celluloid pourrait ne pas fonctionner sur certains ordinateurs de 2011 ou plus anciens, auquel cas VLC est de nouveau conseillé.

Pour le reste, Tails 7.10 propose quelques évolutions logicielles et de firmwares, ainsi que la version 15.0.19 de Tor Browser. Pour les personnes ayant une clé USB avec le système, Tails 7.0 et les versions ultérieures intègrent directement un processus de mise à jour.

• Tails 7.6 gère automatiquement les ponts Tor pour lutter contre la censure

Apple roule au pragmatisme

Les futurs véhicules électriques de Ford intégreront directement Apple Plans à leur système d’infodivertissement. Il ne s’agit ni de CarPlay, ni de CarPlay Ultra, mais bien du service de cartographie et de calcul d’itinéraires d’Apple. Le tout sans aide de l’iPhone.

CarPlay Ultra a calé au démarrage. Présenté durant la WWDC de 2022, ce concurrent d’Android Automotive intéressait plusieurs constructeurs automobiles, affirmait Apple à l’époque. Des partenaires qui se sont défilés, à l’image de Mercedes-Benz, Renault ou encore Audi. La première incarnation concrète de la plateforme logicielle est finalement apparue chez Aston Martin, trois ans plus tard.

Apple Plans, le GPS natif de Ford

Contrairement à Android Automotive qui offre une grande flexibilité aux constructeurs, CarPlay Ultra nécessite un travail en commun avec Apple pour adapter l’interface aux différents écrans des véhicules. Ce n’est pas non plus CarPlay tout court, le système d’affichage projeté de l’écran de l’iPhone vers celui du véhicule dont le succès n’est plus à démontrer.

Devant l’échec de CarPlay Ultra, Apple a manifestement changé son fusil d’épaule en dévoilant une nouvelle initiative automobile plus modeste, mais qui pourrait séduire davantage de constructeurs. Il s’agit d’un kit de développement, MapKit for Automotive, qui permet d’utiliser l’application Plans et ses différents services comme système de navigation natif. Ford, qui faisait partie des partenaires annoncés de CarPlay Ultra, est le premier cobaye à se lancer.

À partir de l’an prochain, les véhicules électriques de Ford fonctionnant avec la plateforme Universal Electric Vehicle (UEV) auront donc droit aux cartes d’Apple Plans sur leurs écrans, sans avoir à connecter d’iPhone. UEV est la nouvelle architecture technique mise au point par Ford pour ses gammes de voitures électriques abordables. Ce socle commun regroupe la batterie, les moteurs, l’électronique, le logiciel et les principes de fabrication.

Le premier modèle labellisé UEV sera un pick-up électrique produit aux États-Unis, avec un prix de départ à 30 000 dollars – très loin des tarifs stratosphériques d’Aston Martin. Le véhicule bénéficiera donc de la cartographie d’Apple, mais également de fonctions comme le guidage étape par étape, les instructions en langage naturel, le trafic et les incidents en temps réel, le calcul d’itinéraires adaptés aux voitures électriques (avec les bornes en chemin), ou encore la préparation de la batterie avant une recharge rapide.

Ce dernier point suppose une intégration profonde de Plans avec le véhicule. L’application doit en effet connaitre l’état de charge et les caractéristiques de la batterie pour choisir les arrêts et demander le préconditionnement du composant. Ford pourra aussi conserver l’habillage graphique de son système d’infodivertissement, ses menus et ses services.

• La France dit non au FSD de Tesla mais veut des véhicules autonomes homologués dès 2027

CarPlay toujours en piste

« Avec notre nouveau SDK MapKit for Automotive, nous intégrons encore davantage Plans au quotidien des conducteurs, en leur proposant un système de navigation extrêmement précis, facile à utiliser et parfaitement intégré aux véhicules Ford », se réjouit Eddy Cue, vice-président des services d’Apple. Il peut être ravi, ce kit semble effectivement promis à un meilleur avenir que CarPlay Ultra, sans atteindre le bouquet de fonctions et de services d’Android Automotive.

C’est aussi une manière pour Apple de rester pertinent dans un secteur de l’automobile où plusieurs acteurs cherchent à couper le cordon avec les mastodontes envahissants que sont Apple et Google (Android Auto). C’est le cas de GM, qui a annoncé en octobre dernier l’abandon de ces deux technologies au profit de ses propres systèmes. Ford a d’ailleurs confirmé rester fidèle à CarPlay.

L’autre volet de l’accord avec Apple concerne BlueCruise, le système de conduite mains libres sur autoroute de Ford. Ce dernier va utiliser les infos routières de Plans pour développer la prochaine génération de son logiciel ; les données seront exploitées par Latitude AI, filiale de Ford, notamment pour les voies, les bretelles d’accès et les sorties. Là aussi, il ne s’agit pas pour Apple de fournir toute la pile technologique de BlueCruise, uniquement la partie cartographique.

Après une incursion dans le monde des briques connectées avec Lego Smart Play, le fabricant danois revient à l’un de ses leviers marketing de prédilection : exploiter la nostalgie des grands enfants en s’associant à des marques emblématiques de la culture geek. En témoigne ce nouveau set issu du partenariat déjà enclenché avec Nintendo, qui propose de construire une mini borne d’arcade Donkey Kong… mais aussi de jouer avec cette dernière !

Le set 72051, baptisé Donkey Kong Arcade, contient 1 367 pièces, pour reconstituer le célèbre décor tout en échafaudages et échelles, le long desquels Jumpman (qui ne s’appelait pas encore Mario) doit éviter des tonneaux roulants lancés par Donkey Kong pour atteindre Lady et la délivrer.

Outre le plaisir de la construction, le principal attrait de la borne vient de son caractère interactif : une fois assemblée, on peut lancer jusqu’à 21 tonneaux, diriger Jumpman à l’aide d’un joystick et lui faire éviter les obstacles en sautant grâce à un bouton dédié. Le dos de la borne d’arcade (dépourvue de monnayeur) révèle le mécanisme qui anime l’ensemble. L’ensemble mesure 39 cm de haut, 27 cm de large et 15 cm de profondeur.

Bref, une jolie madeleine de Proust comme Lego sait en faire (on se souvient de la NES lancée en 2020, ou de la borne Pac-Man de 2023), aussi séduisante que dispendieuse : comptez 170 euros en précommande, avec des livraisons programmées à partir du 1^er août prochain.

Pas de console, mais un cloud

Le cloud gaming serait-il une solution au problème du matériel hors de prix ? Pas besoin de consoles ou de PC, une (bonne) connexion internet et une manette potable suffisent pour profiter des blockbusters les plus récents sur sa télé ou son smartphone. Plusieurs solutions sont disponibles, mais les principales sont payantes, chez Sony (PlayStation Plus), NVIDIA (GeForce Now), ou Microsoft (Xbox Cloud Gaming).

Xbox, qui selon le mot d’Asha Sharma veut « divertir plus d’un milliard de personnes chaque jour », a besoin d’élargir sa plateforme au-delà de Windows et de ses consoles. C’est ce qui l’a poussée à adapter plusieurs de ses grosses franchises à la concurrence (rendez-vous compte, le nouveau Halo est disponible sur PS5 !), mais aussi à tenter quelque chose de nouveau : une offre de cloud gaming gratuite pour les joueurs sur Xbox.

• Xbox ressort la hache et s’ampute de cinq studios

Ce nouveau service, objet de rumeurs depuis des mois, est désormais officiel. Xbox propose le streaming depuis le nuage sans frais, mais avec pas mal de contraintes. D’une, il faut posséder les jeux que l’on veut streamer, et seule une petite sélection est compatible ; on n’a pas accès au catalogue pléthorique du Game Pass, en revanche les jeux free to play sont supportés. De deux, les sessions sont limitées à 1 heure. De trois, la formule est financée par la publicité.

Une expérimentation, et plus si affinités

Il s’agit pour le moment d’une expérimentation réservée aux joueurs inscrits au programme Xbox Insiders, qui permet de tester des nouveautés avant qu’elles soient proposées au grand public. Deux minutes de publicités seront jouées avant le début de la session de jeu, il n’y aura pas de pause en plein combat de boss. Si le joueur veut aller au-delà de l’heure offerte, il devra visionner de nouvelles publicités. Microsoft promet d’appliquer à ces réclames « les mêmes critères de qualité qu’à nos contenus », ce qui ne mange pas de pain.

Les publicités doivent aussi « apporter une valeur ajoutée » et correspondre aux « attentes des joueurs sur chaque plateforme ». Microsoft s’engage enfin à indiquer clairement ce qui relève de la publicité. « Lorsqu’elle est bien utilisée, elle peut contribuer à réduire le coût d’accès », explique l’entreprise. « Elle offre aux joueurs une autre manière de découvrir des jeux sans devoir payer d’emblée pour le streaming, tout en élargissant le public grâce à de nouvelles façons de jouer. »

L’idée est on ne peut plus claire : alors que les consoles atteignent des prix ahurissants (les Xbox vont encore augmenter au 1er août, la Switch 2 en septembre), le cloud gaming permet de jouer à des titres récents « sans avoir à acheter immédiatement une nouvelle console ». Voilà qui est « particulièrement important dans les régions où les consoles sont plus difficiles à trouver ou moins abordables ».

Xbox veut apprendre de ce test, qui aura une durée limitée. Le Game Pass (payant) était jusqu’à présent le seul moyen d’accéder au streaming du Xbox Cloud Gaming. En parallèle, Microsoft a lancé une nouvelle offre Game Pass « Starter Edition » en bundle avec d’autres abonnements, comme Discord Nitro et Horizon+ (Meta). Elle propose l’accès à une cinquantaine de jeux et 10 heures de cloud gaming par mois.

Amazon s’y intéresse aussi

Toujours dans le registre du streaming de jeux, Amazon a annoncé l’intégration de son propre service Luna au sein de Prime Video. Aux États-Unis et au Royaume-Uni, un nouvel onglet va apparaitre sur les Fire TV, qui donnera un accès direct au catalogue de la plateforme – elle compte quelques titres pas forcément récents mais bien connus et appréciés, comme Hogwarts Legacy, EA FC 26, Dispatch ou encore Indiana Jones et le Cercle Ancien.

« Seules quelques centaines de millions [de personnes] possèdent une console ou un PC suffisamment puissant pour jouer », explique Amazon. « Pour les autres, le coût et les contraintes les ont jusqu’ici tenues à l’écart. Luna s’adresse à ces joueurs, avec des jeux immersifs accessibles en quelques secondes, aussi faciles à trouver que les séries et les films qu’ils regardent déjà, et disponibles sur les appareils qu’ils possèdent déjà. » Un discours similaire à celui de Microsoft, qui pourrait effectivement être entendu par les joueurs peu enclins à s’équiper de matériel dernier cri.

Le fameux outil de benchmark Geekbench est désormais disponible en version 7. Le logiciel, qui sert à mesurer les performances d’un appareil Windows, macOS, Linux, Android et iOS, revoit ses tests pour mieux refléter les usages actuels. Il en va ainsi des mesures du processeur, qui va suer sur de nouvelles charges de travail multimédias ; il s’agit de déterminer la manière dont le CPU gère l’encodage, le décodage et le traitement de contenus audio et vidéo.

Cette torture reproduit des tâches de tous les jours, éprouvées par des millions d’utilisateurs : visioconférence, partage d’écran, consommation quotidienne de contenus. Il y a parmi les tests un encodage de vidéo de partage d’écran en AV1, la compression de musique et de contenus parlés avec le codec Opus, ou encore le décodage de contenus vidéo et audio tout en générant des sous-titres en direct avec Whisper.

La nouvelle mouture de Geekbench intègre un test supplémentaire de physique de jeu basé sur le moteur Jolt Physics (utilisé notamment dans des jeux comme Horizon Forbidden West ou The Last of Us Part I sur PC). Le test de photothèque a aussi été mis à jour pour prendre en charge l’importation et le traitement de formats d’image comme le JPEG XL et le DNG.

Autre gros changement pour Geekbench : les tests multi-cœurs ont été repensés pour « mieux refléter le comportement de vraies applications ». Désormais, une charge de travail n’est exécutée en multi-cœurs que si elle exploite réellement plusieurs threads dans les logiciels. Le test de navigation HTML5 n’en fait par exemple pas partie, puisque les navigateurs web fonctionnent principalement avec un seul cœur.

Les benchmarks GPU bénéficient aussi d’un sérieux ripolinage, avec des tests qui mettent davantage l’accent sur l’apprentissage automatique (machine learning) et la création de contenus. Les charges de travail des benchs consistent maintenant à suivre des visages et appliquer des filtres vidéo en temps réel, à agrandir des images (super-résolution), et flouter l’arrière-plan des flux de visioconférence.

De nouveaux tests GPU de retouche et de synthèse d’images sont également dans le lot, dont des benchs de traitement de fichiers RAW, l’étalonnage colorimétrique vidéo LUT, le path tracing et la simulation de fluide. Les API prises en charge par le test GPU accueillent CUDA, en plus d’OpenCL, Vulkan et Metal, ce qui permettra de mesurer les performances d’un GPU NVIDIA avec l’API utilisée par ses applications les plus exigeantes.

Enfin, les jeux de données ont été agrandis avec davantage de diversité, pour mieux prendre en compte la taille et la complexité des fichiers actuels. Le test de compression de fichiers contient ainsi du code source et des documents texte. Le test de lecture PDF embarque des plans, des documents techniques et des articles scientifiques.

Geekbench 7 est gratuit, mais les mesures sont automatiquement enregistrées dans la base de données qui est accessible au public. La version payante est facturée 99 dollars (il y a 20 dollars de remise jusqu’au 6 août).

• Comment tout savoir de votre nouveau PC et mesurer ses performances ?

Le projet d’acquisition d’Electronic Arts par un consortium emmené par le PIF, le Fonds public d’investissement d’Arabie saoudite, est en bonne voie. Du moins du côté de l’Union européenne, qui a donné son feu vert à l’opération maousse costaud de 55 milliards de dollars.

La Commission européenne a approuvé le projet d’acquisition du géant du jeu vidéo EA par un consortium composé du PIF et de deux sociétés américaines : le fonds de private equity Silver Lake Capital et Affinity Partners, le fonds géré par Jared Kushner (ci-devant gendre de Donald Trump).

• Electronic Arts racheté par des fonds saoudien et états-uniens pour 55 milliards de dollars

Bruxelles a conclu que l’opération ne soulevait pas de problèmes de concurrence, « compte tenu de son impact limité sur les marchés où les entreprises sont actives ». Comme le rapporte Reuters, il reste toutefois une procédure à terminer, celle du règlement sur les subventions étrangères. La décision, attendue au plus tard le 30 juillet, devra déterminer si le soutien financier du fonds souverain saoudien confère au consortium un avantage susceptible de fausser le marché.

Néanmoins, l’opération semble bien engagée. Outre-Atlantique, l’absence d’intervention de la FTC, le régulateur à la concurrence, ou du ministère de la Justice équivaut à un feu vert. En revanche, il faut encore obtenir l’aval du CFIUS, le comité chargé d’examiner les investissements étrangers aux États-Unis sous l’angle de la sécurité nationale (PDF). Un examen nécessaire, le PIF étant de très loin le partenaire majeur du consortium.

Si le consortium parvient à ses fins, il s’agira de la deuxième plus importante acquisition de l’histoire de l’industrie du jeu vidéo, après les 69 milliards de Microsoft pour Activision Blizzard King. Au terme de l’opération, EA s’alourdira d’une dette de 20 milliards de dollars qui forcera l’éditeur à mettre en œuvre des politiques d’économies drastiques (des fermetures de studios et licenciements sont à craindre) tout en maintenant un niveau élevé de rentabilité. Une sacrée gageure dans un secteur en crise profonde.

Il y a le bon CVE et le mauvais CVE

La publication en 48 heures de 432 bulletins CVE pour le noyau Linux a provoqué des interrogations sur la meilleure manière d’intégrer un tel flot de corrections dans les environnements de production. La situation est plus complexe qu’il n’y paraît.

Entre les 20 et 21 juillet, un lot conséquent de 432 CVE a été publié pour le noyau Linux. Cela ne signifie pas que 432 failles ont été corrigées, car le fonctionnement des CVE est différent pour le noyau. En revanche, ils correspondent quand même à des corrections portées dans la branche principale par les mainteneurs du noyau. Se pose alors la question de leur répercussion concrète.

D’abord, qu’est-ce qu’un CVE ? C’est un identifiant unique (Common Vulnerabilities and Exposures) attribué à une faille de sécurité informatique connue publiquement. Une telle vulnérabilité se définit par une faiblesse de la logique d’un logiciel, permettant alors à un attaquant de violer la politique de sécurité et d’effectuer des actions auxquelles il n’a normalement pas droit. Dans la plupart des cas, les CVE sont publiés avant les correctifs associés, car ils servent souvent de base pour les bulletins de sécurité. Le CVE s’accompagne généralement d’un score CVSS (Common Vulnerability Scoring System), censé représenter le niveau de dangerosité de la faille, et de détails contextuels (vecteur d’attaque à distance, niveau de privilèges requis, etc.).

• CVSS 4.0 : dur, dur, d’être un expert !

Il y a CVE et CVE

Les CVE sont attribués par les CNA (CVE Numbering Authorities). Or, depuis février 2024, le projet Linux est devenu sa propre autorité de numérotation, avec des règles spécifiques pour répondre à l’échelle de son immense base de code.

Pour comprendre la situation actuelle, il faut retenir que ces règles sont inversées par rapport au reste de l’industrie. Dans un cas classique, la découverte d’une faille entraine l’attribution d’un CVE, l’alerte puis le développement du patch. Que les détails soient parfois publiés plus tard n’y change rien, le CVE est attribué d’abord. Au sein du projet Linux, c’est le contraire : la découverte d’une faiblesse dans le code entraine le développement d’un patch puis la fusion de celui-ci dans les branches stables du noyau, et seulement après l’apparition d’un CVE. Ce qui signifie qu’au sein du noyau Linux, les failles non corrigées n’ont pas de CVE.

Autre précision importante : l’équipe du noyau attribue systématiquement un CVE à tout correctif de bug susceptible d’impacter la stabilité ou l’accès mémoire, sans chercher à qualifier si le bug est facilement exploitable ou non. C’est ce qu’expliquait sur son blog Greg Kroah-Hartman, mainteneur principal des branches stables du noyau, en février dernier. De même, aucun score CVSS n’est produit, et pour cause : les développeurs du noyau ne connaissent pas l’usage fait de Linux, donc dans quel type d’environnement le code sera exécuté.

En revanche, là où un CVE traditionnel décrit un comportement de haut niveau, un CVE Linux correspond directement à un identifiant de commit Git. Ce suivi automatisé explique pourquoi l’utilisation massive de fuzzers et d’outils d’analyse statique génère des pics soudains de plusieurs centaines de CVE.

Mais alors, où est le problème ?

Si la publication de 432 CVE est en soi inédite, ils correspondent donc à des bugs déjà corrigés. Pourtant Jan Schaumann, architecte en chef de la sécurité de l’information chez Akamai Technologies, s’en est plaint sur la liste de diffusion OSS-SEC. Il y exprime son inquiétude devant un tel volume, demandant comment les entreprises, et de manière générale les environnements de production, peuvent suivre un tel rythme.

Mais en quoi est-ce un problème ? Si les failles sont déjà corrigées, ne suffit-il pas d’attendre sagement la prochaine révision du noyau ? Ce n’est pas si simple.

Plusieurs éléments doivent être considérés. D’un côté, les corrections intégrées aux branches stables signifient que toutes les versions actuellement supportées du noyau Linux vont les répercuter. En théorie, il suffirait d’installer la version suivante dans la branche utilisée, par exemple la 7.2 si l’on utilise une distribution évoluant avec les versions les plus récentes. De l’autre, les environnements de production utilisent souvent des versions modifiées, voire d’anciennes versions dans lesquelles les équipes « backportent » (rétroportent) les modifications qui les intéressent.

C’est là que survient le problème dont se plaint Jan Schaumann : quand 432 CVE sont publiés en 24 heures, comment savoir ce qui est important et doit être rétroporté ? Dans un courrier envoyé à The Register, il évoque la possibilité de faire travailler des LLM pour gérer automatiquement le flux. « Des mises à jour automatisées, régulières et fréquentes qui intègrent tous les changements dans un délai donné me semblent la seule approche raisonnable, mais cela est très difficile pour de nombreuses grandes organisations », explique-t-il ainsi.

Le dernier noyau disponible, toujours

Sur la liste de diffusion OSS-SEC, la discussion présente des réponses intéressantes, notamment celle de Greg Kroah-Hartman en personne. Bien qu’il ne réagisse pas directement au message initial, les solutions envisagées par d’autres sont passées en revue, et il donne nettement sa préférence : toujours utiliser le dernier noyau stable disponible sur la branche souhaitée et vérifier régulièrement l’ensemble des systèmes gérés.

Kroah-Hartman reconnait que ce n’est pas toujours simple au sein des entreprises, mais que des produits payants permettent de gérer efficacement ce processus. Si payer un tel produit n’est pas possible, il recommande d’installer des distributions comme Debian ou Yocto, car « leurs pratiques de sécurité sont extraordinaires ». Les autres solutions représentent plus de travail ou une sécurité moindre. Vérifier un par un les CVE pour ne considérer que ceux importants dans l’infrastructure ? On peut le faire de manière automatisée pour vérifier ce qui ressort à l’intersection des fichiers visés par les CVE et des fichiers réellement utilisés dans l’environnement géré. Mais on en revient à la proposition de Jan Schaumann, et toutes les organisations ne peuvent pas se permettre un tel pipeline de gestion.

En d’autres termes, la meilleure solution reste la répercussion des nouveaux noyaux quand ils deviennent disponibles, mais l’explosion du nombre de CVE – très probablement portée par l’utilisation croissante des LLM – rend la lecture plus complexe. Pour Greg Kroah-Hartman cependant, il n’y a pas vraiment de problème : les 432 CVE étaient en préparation depuis des semaines, personne ne devrait être surpris.

Il existe de nombreuses méthodes de sécurité pour se connecter à son compte Google, mais la loi de Murphy étant universelle et intangible, il peut arriver que tout se passe mal et qu’aucune ne fonctionne. Le moteur de recherche en a donc ajouté une nouvelle qui ne devrait plus se perdre au fin fond d’un gestionnaire de mots de passe : le visage.

Google est en train de déployer une fonction de selfie vidéo pour récupérer son compte. Il faudra au préalable enregistrer un selfie vidéo, en suivant les indications de mouvements de tête de l’application. En cas de problème de connexion au compte, l’app peut proposer de réaliser un selfie, qui sera comparé à celui déjà enregistré. Une fois l’identité vérifiée, l’accès sera rétabli.

Évidemment, cette nouvelle méthode pose quelques questions de confidentialité, ce d’autant que le selfie vidéo original est stocké sur les serveurs de Google. L’entreprise se veut rassurante : les données sont enregistrées « de manière sécurisée » (elles sont chiffrées au repos) et avec le consentement de l’utilisateur. La vidéo ne sert que pour l’aide à la connexion, et il est possible de la supprimer à tout moment depuis le compte Google.

Autre inquiétude très concrète : les tentatives d’usurpation d’identité. Des malandrins pourraient en effet être tentés d’utiliser de fausses photos ou vidéos pour se connecter subrepticement dans le compte Google d’une victime. On n’ose imaginer les dégâts possibles, puisque ces comptes contiennent une bonne partie de la vie des utilisateurs…

Plusieurs niveaux de sécurité sont appliqués pour prévenir ces tentatives. « Nous comparons votre vidéo à celle que vous avez enregistrée et vous demandons d’effectuer quelques mouvements simples afin de vérifier qu’il s’agit bien d’une captation en direct », explique Google. Des « mesures de sécurité habituelles » sont également mises en œuvre pour détecter et bloquer les connexions suspectes.

Les plus suspicieux se contenteront des méthodes de connexion existantes, que ce soit une passkey ou un système de validation à deux étapes, comme le code d’une app d’authentification, une clé de sécurité physique ou une invite Google sur un téléphone déjà connecté. Il y a aussi le code reçu par SMS, mais cette méthode n’est pas spécialement sécurisée.

• Mots de passe, double authentification : grrrrr… il est temps d’agir !

Deux fautes, une grosse addition

Google est de nouveau condamné par la Commission européenne, qui vient de lui infliger deux amendes totalisant 890 millions d’euros. Il s’agit cette fois de sanctionner l’entreprise pour avoir favorisé ses propres services dans son moteur de recherche, et pour avoir restreint les achats en dehors de son magasin d’applications.

Au terme d’une enquête lancée en mars 2024, Bruxelles sanctionne Google d’avoir enfreint le règlement sur les marchés numériques (DMA). Ce sont en fait deux condamnations pour le prix d’une. La première amende de 460 millions d’euros concerne les pratiques de traitement préférentiel : la Commission estime en effet que Google met davantage en avant ses propres services (comme Google Shopping, Travel ou Maps) au détriment de la concurrence.

Moi d’abord, les autres ensuite

En plus de les placer de manière plus favorable dans les résultats d’une recherche, Google accorderait à ses propres services une visibilité plus attrayante avec des encadrés, des images et des filtres, sans proposer les mêmes possibilités aux services tiers. En tant que contrôleur d’accès, Google se doit pourtant d’appliquer des conditions de classement « transparentes, équitables et non discriminatoires ».

La deuxième condamnation, de 430 millions d’euros, touche les règles imposées aux développeurs d’applications. Ces derniers ont, normalement, la possibilité d’informer leurs utilisateurs qu’un abonnement ou un achat est moins cher ailleurs (sur leur propre site par exemple, ou encore dans des boutiques concurrentes). Ils peuvent aussi diriger ces mêmes utilisateurs vers ces offres alternatives.

La Commission reproche à Google d’avoir mis en place des restrictions contractuelles et techniques telles que les développeurs sont dans l’impossibilité matérielle de profiter de ces largesses. Bruxelles critique également les commissions réclamées par l’entreprise pour les coûts d’acquisition d’un client qui va effectuer un achat ailleurs que sur le Play Store. Google a le droit de facturer une commission, mais celle-ci est considérée comme trop élevée.

Teresa Ribera, vice-présidente de la Commission en charge de la Concurrence, affirme que Google n’a pas respecté « de manière effective » les obligations du DMA.

« Les meilleurs produits doivent s’imposer parce qu’ils sont meilleurs, et non parce qu’ils appartiennent à l’entreprise qui exploite le moteur de recherche. Les consommateurs européens ont également le droit d’être informés par les développeurs d’applications des endroits où ils peuvent souscrire aux offres les plus avantageuses, même lorsque le propriétaire de la boutique d’applications ne touche aucune commission. »

Le groupe américain a 60 jours pour se mettre en règle, au risque sinon de pénalités périodiques qui peuvent atteindre jusqu’à 5 % de son chiffre d’affaires mondial. Sans attendre, l’entreprise a déjà mis en œuvre des changements, notamment dans l’affichage de résultats liés au shopping, aux hôtels, aux vols, aux publicités et aux résultats sportifs. Des discussions avec la Commission portent également sur la manière dont ces règles devront être appliquées aux Aperçus IA et au mode IA, qui viennent tout juste d’être lancés en France.

Quant au Play Store, la victoire d’Epic Games devant la justice américaine contre Google a poussé ce dernier à revoir en profondeur le fonctionnement du Play Store : boutiques alternatives, commissions en baisse, systèmes de paiement tiers. L’exécutif européen doit encore déterminer si ces modifications suffisent.

• Play Store : refonte et baisse des frais, Google et Epic font la paix et parlent… métavers

Dialogue de sourds

Google, qui peut faire appel de la décision de la Commission, estime que la mise en œuvre du DMA « continue de dégrader des produits du quotidien », déclare Kent Walker, le directeur juridique du groupe. Il déplore la « détérioration » des services de Google « dictée par un petit groupe de plaignants qui défendent leurs propres intérêts, tandis que les entreprises et les consommateurs européens en font les frais. »

« La situation actuelle, c’est que vous avez des contrôleurs d’accès qui bloquent l’innovation européenne et vous avez des contrôleurs d’accès qui empêchent des entreprises européennes d’innover de manière juste », a rétorqué Thomas Regnier, porte-parole de la Commission sur le numérique.

L’histoire ne devrait donc pas en rester là. Elle pourrait même remonter jusqu’aux oreilles de Donald Trump, qui n’apprécie guère les régulations contre les entreprises américaines et a déjà menacé, à plusieurs reprises, de taxes douanières supplémentaires sur les importations européennes. Mais pour Teresa Ribera, il n’est pas question que Bruxelles prenne des décisions en fonction de « ce que quelqu’un d’autre essaie de nous dire de faire ou de ne pas faire », rapporte le Financial Times.

« Il est de notre devoir de défendre l’État de droit, y compris nos propres lois, indépendamment de la manière dont elles sont perçues ou contestées », poursuit-elle. Y compris aux États-Unis : « Certaines déclarations du gouvernement américain ne sont pas particulièrement bienveillantes à l’égard du droit européen. »

Small is beautiful

Cisco prend le contrepied des immenses et très coûteux modèles de pointe généralistes avec la mise en ligne de deux petits modèles à poids ouverts, dédiés spécifiquement à la recherche de vulnérabilités. Baptisés Antares, ils offrent selon l’équipementier un rapport coût performances particulièrement intéressant en usage local.

Entre Mythos, Fable 5, l’explosion du volume de failles détectées chez Microsoft ou l’attaque surprise lancée par un modèle d’OpenAI sur les infrastructures de Hugging Face, c’est peu dire que l’IA générative percute de plein fouet le monde de la cybersécurité. Point commun de ces différentes annonces, savamment entretenues par le narratif marketing des laboratoires spécialisés : elles font appel à des modèles de pointe (frontier models), aussi performants que gourmands en ressources.

Précision et rappel

L’équipementier réseau Cisco s’invite dans l’arène avec une proposition de valeur un peu différente. Le 21 juillet, il a publié deux modèles à poids ouverts, plutôt modestes au premier abord puisqu’ils se limitent à respectivement 350 millions et un milliard de paramètres. Entraînés spécifiquement pour la recherche de vulnérabilités, ces deux modèles délivreraient des performances particulièrement intéressantes au regard de leur relative légèreté.

Pour ce faire, Cisco n’a pas cherché à doper les facultés de raisonnement de ses modèles, mais plutôt à optimiser leur précision et leur rappel grâce à une recherche par itérations. « Chaque modèle part d’une description de vulnérabilité, recherche des motifs de code pertinents, examine les fichiers candidats, intègre de nouveaux éléments, change d’orientation lorsqu’une piste s’avère infructueuse et affine sa recherche pour cibler les fichiers les plus susceptibles d’être critiques », décrit Cisco dans un billet d’annonce.

L’objectif des modèles Antares n’est donc pas d’analyser des systèmes ou cas de figure complexes, comme pourrait tenter de le faire un modèle frontière doté de capacités de raisonnement. Cisco les présente plutôt comme une assistance, capable de localiser les fichiers correspondant à une CVE dans un dépôt, de trier les alertes de vulnérabilité, de procéder à de l’enrichissement statistique en scannant des bases de code, ou de réaliser des analyses de sécurité locales dans des environnements soumis à des exigences de conformité.

Des modèles légers centrés sur la recherche de vulnérabilités

Le tout avec un coût en ressources significativement plus faible que celui des grands modèles. « Les tests montrent que ces modèles surpassent de nombreux modèles puissants – qu’ils soient à poids fermés ou ouverts – dans cette tâche de sécurité critique, et ce, pour une fraction du coût. De plus, ils sont suffisamment compacts pour être exécutés localement, évitant ainsi d’avoir à envoyer des bases de code sensibles dans le cloud », avance Cisco.

Dans ce contexte, l’équipementier justifie le choix de l’open source par la nécessité de fournir à la communauté cyber « des briques élémentaires plus accessibles pour une défense pratique au niveau du dépôt ».

Reste à mesurer les performances réelles de ces deux premiers modèles, qui seront bientôt rejoints par une variante à 3 milliards de paramètres (Antares-3B). Pour ce faire, Cisco estime ne pas pouvoir se baser sur les benchmarks traditionnellement dédiés au code, qui couvrent une palette plus large de scénarios d’usage, et a donc conçu son propre référentiel… qui, sans surprise, livre des résultats flatteurs pour les modèles maison.

Antares-1B se situerait ainsi entre GLM-5.2 et GPT-5.5 pour la localisation de vulnérabilités. Contrairement aux ténors du marché, les modèles Antares sont en revanche incapables de vérifier leurs découvertes. Cisco les positionne de ce fait comme un maillon spécialisé dans une chaîne d’outils IA plus large. « Dans l’ensemble, Antares démontre que des modèles compacts et déployables localement peuvent effectuer une analyse de sécurité autonome pertinente lorsqu’ils sont entraînés directement sur les schémas d’interaction requis par la tâche », concluent les auteurs de l’article technique dédié (PDF).

À l'IA jacta est

Alors que le gouvernement a annoncé que les élèves de seconde bénéficieraient à la rentrée 2027 d’une heure de cours d’intelligence artificielle par semaine, des chercheurs ont testé la capacité des êtres humains à déléguer leur esprit critique à une IA. Paradoxalement, ceux qui avaient le droit d’interroger une IA affichaient un taux de confiance plus de deux fois plus élevé que ceux qui n’y avaient pas droit. Et pourtant, ces derniers se sont bien moins trompés que ceux qui répétaient les réponses proposées par l’IA.

MàJ, 21 h, avec un bloc de conclusion précisant que le ministre de l’Éducation vient de préciser que le cours d’IA en seconde devra également servir de « levier précoce » pour lutter contre les inégalités et disparités entre filles et garçons auxquelles sont confrontées les filières et métiers du numérique et de l’intelligence artificielle.

---

« Savoir quand ne pas répondre est l’un des fondements du jugement humain. Mais que se passe-t-il lorsqu’une IA a toujours une réponse ? » s’interroge sur LinkedIn Walter Quattrociocchi, pour qui la phrase la plus importante en science n’est pas « j’avais raison », mais « je ne sais pas ».

Pour y répondre, ce professeur d’informatique et auteur de trois livres consacrés à la désinformation et à la post-vérité s’est associé avec deux autres chercheurs universitaires, Chiara Marcoccia et Valerio Capraro, afin de procéder à cinq expérimentations.

Le titre de leur preprint en divulgâche quelque peu les résultats : « Les conseils fournis par l’IA dissuadent les gens de dire « je ne sais pas », même lorsque ces conseils sont erronés et que l’exactitude est récompensée ».

Ils avaient demandé à 3 132 participants de répondre à six questions relatives au cinéma, choisies de sorte que leurs réponses soient difficiles à trouver par des humains, mais portant sur des détails visuels suffisamment pointus pour que les LLM soient prompts à « halluciner » des réponses plausibles, mais erronées.

Y figuraient par exemple des questions comme « quel animal figure sur la proue du bateau pirate dans “Astérix et Obélix” ? », ou « quelle est la couleur du maillot de l’équipe de foot de « Joue-la comme Beckham » ? ».

L’IA fait exploser le taux d’erreurs… et le niveau de confiance

Histoire de parfaire le tableau, les chercheurs avaient également pris soin d’opter pour un modèle, Step 3.5 Flash, dont ils savaient que la totalité des réponses seraient erronées car « hallucinées », contrairement à celles proposées par d’autres modèles plus sophistiqués.

L’objectif du questionnaire n’était pas d’estimer la capacité des assistants IA à répondre correctement, mais bien d’observer comment les participants font confiance aux réponses générées par IA. Affectant ainsi à la fois leur capacité de discernement et leur propension à ne plus oser répondre « je ne sais pas ».

Les participants étaient divisés en deux groupes : le premier devait répondre aux questions sans aide externe, le second pouvait reposer la question à une IA. Or, en moyenne, 44 % des membres du premier groupe ont répondu « Je ne sais pas », contre 3 % seulement de ceux qui ont pu interroger une IA (soit une différence de - 93 %).

De plus, le taux de bonnes réponses des premiers était de 27 %, contre seulement 9 % pour le second (- 67 %). Dans le même temps, le niveau de confiance des premiers était de 30 %, contre 76 % chez les seconds (+ 153 %).

L’IA les a non seulement induits en erreur, au point de tripler le nombre de réponses erronées par rapport au groupe témoin, mais elle leur a dans le même temps donné une illusion de compétence totalement infondée. Et ce, alors que près d’un tiers d’entre eux aurait pu donner la bonne réponse s’ils n’avaient pas interrogé l’IA.

Dit autrement : en se reposant aveuglément sur l’IA, le taux de réponse correcte s’écroule de deux tiers, alors que les participants se sentent deux fois et demi plus confiants. Et seule une infime minorité des participants recourant à l’IA (3 %) reconnaît ne pas savoir répondre à la question, l’IA ayant donné aux autres un (faux) sentiment de certitude, basé sur des réponses (majoritairement) fausses.

Pour parfaire leur expérimentation, les chercheurs ont également proposé des incitations financières, ce qui a légèrement amélioré les résultats obtenus par les participants car ils se comportaient un peu plus prudemment.

Dans le groupe ayant accès à l’IA, la disposition à admettre son ignorance est ainsi passée de 3 % à 8 %, et la pertinence des réponses de 9 % à 16 %, des taux restant bien inférieurs à ceux du groupe de contrôle, respectivement de 44 % et 27 %.

Les IA génératives ne savent pas répondre « je ne sais pas »

Comme le résume Walter Quattrociocchi, le problème n’est pas simplement que l’IA puisse se tromper, mais que le fait qu’elle propose une réponse incite les gens à vouloir y croire au point de la reprendre à leur compte. Ce qui ne peut avoir que des effets négatifs tant dans l’éducation ou la recherche que dans le débat public.

« Pour les êtres humains, la capacité à dire “Je ne sais pas” est très importante, car elle traduit la reconnaissance des limites de nos propres connaissances », explique Valerio Capraro à The Register. Cette incapacité peut donc aussi, a contrario, donner un sentiment de surpuissance à ceux qui, pourtant, « ne savent pas » si ce qu’ils relaient est vrai, ou pas, ni donc de quoi ils parlent.

The Register précise par ailleurs que, bien que les chercheurs aient choisi des questions portant sur des anecdotes cinématographiques, ils affirment que leurs conclusions peuvent s’étendre à d’autres domaines.

Comme le relevaient des chercheurs d’OpenAI dans un preprint publié en septembre dernier, les IA sont en effet « encouragées à fournir une réponse au hasard plutôt qu’à avouer leur ignorance », quitte à raconter n’importe quoi, afin de satisfaire leurs utilisateurs, sur fond de concurrence exacerbée.

• Pourquoi les chatbots d’IA générative répètent deux fois plus d’infox que l’an passé

Les évaluations portant sur l’exactitude sont en outre majoritaires dans les classements et les fiches système des modèles, « ce qui pousse les développeurs à créer des modèles préférant les hypothèses à l’abstention ». Ce pourquoi, « même si les modèles gagnent en sophistication, ils hallucinent toujours au lieu d’expliquer qu’ils ne savent pas répondre ».

Des études universitaires sur la « sycophancy » (que l’on peut traduire par « effet sycophante » ou « biais de complaisance ») ont par ailleurs montré que ChatGPT, Claude et Gemini flattaient ceux qui les interrogeaient dans près de six réponses sur dix, indiquant des « taux de complaisance » s’échelonnant de 47 % à 95 %, sur sept familles de modèles.

« Je suis très inquiet pour les enfants »

« Je suis très inquiet pour les enfants, car les adultes ont acquis un esprit critique », déplore Capraro auprès du site : « Mais pour les enfants, qui naissent pour ainsi dire avec ces systèmes, le risque est qu’ils n’acquièrent même pas les compétences critiques de base ».

Le Financial Times racontait lui aussi récemment que l’écrivain et scénariste Dave Eggers, invité par Sam Altman à effectuer une conférence devant 200 employés d’OpenAI, leur avait déclaré l’an passé que « L’impact de ChatGPT sur la vie des enseignants est catastrophique » :

« Que ce soit votre intention ou non, vous avez rendu la vie de chaque enseignant infiniment plus difficile qu’elle ne l’était il y a deux ans. Alors, prenez bien conscience de cela… Si les élèves l’utilisent pour rédiger, ce qui est la plus grande tragédie de toutes, ils n’apprendront jamais à écrire. Et on leur vole leur voix. Ils n’auront jamais la capacité d’exprimer leur vérité et de raconter leur propre histoire. Et cela revient à réduire au silence une ou deux générations entières. »

• À Berkeley, plus d’un tiers des étudiants en informatique sont recalés à cause de l’IA

Enseigner l’IA, et l’esprit critique, à partir de la rentrée scolaire 2027

« Nous ne pouvons pas laisser une génération entière découvrir l’intelligence artificielle sans lui donner les clés pour la comprendre et donc la maîtriser », avait de son côté souligné Sébastien Lecornu en juin dernier dans un message posté sur X, en annonçant qu’ « À partir de la rentrée 2027 et sous l’impulsion du Ministre Edouard Geffray, tous les élèves de seconde bénéficieront d’un enseignement dédié à l’IA, à raison d’une heure par semaine intégrée au cours de sciences numériques et technologie » (:

« Fonctionnement des modèles, usages, éthique, souveraineté numérique, esprit critique face aux manipulations et aux fausses informations : notre école doit préparer les jeunes au monde qui vient.
Former à l’IA et réduire l’exposition aux écrans participent d’une même ambition : faire de nos élèves des citoyens libres, autonomes. Condition de notre souveraineté collective. »

• Les smartphones « très probablement » interdits dans les lycées dès la rentrée

Le ministre de l’Éducation nationale, Edouard Geffray, venait en effet d’annoncer (en anglais) lors d’une table ronde à VivaTech que « tous les élèves français de première année de lycée bénéficieront d’un enseignement dédié à l’IA. Ce sera la première fois que tous les élèves en France disposeront d’un dispositif permanent et spécifique ».

Le Monde et l’AFP rappellent qu’Élisabeth Borne, alors ministre de l’Éducation nationale, avait elle aussi annoncé que collégiens et lycéens bénéficieraient à la rentrée 2025 d’une formation en ligne à l’IA, « avec des sessions obligatoires pour les élèves de 4^e et de 2^de ». Une formation peu mise en œuvre, de source syndicale.

Le cours de sciences numériques et technologie (SNT) avait été confié depuis sa création en 2019 à des professeurs de mathématiques et de technologies, ou à n’importe quel autre professeur paraissant plus qualifié.

« Or la durée hebdomadaire de ce cours est d’une heure et demie », précise à l’AFP Sophie Vénétitay, secrétaire générale du SNES-FSU, syndicat majoritaire dans le second degré, qui appelle à « une clarification ».

Conférer à l’informatique et l’IA un « statut de bien culturel commun »

Le Café pédagogique relève pour sa part que les programmes de SNT sont centrés sur l’informatique et ses développements, et que l’intelligence artificielle n’y apparaît qu’une seule fois.

Début juillet, la Société informatique de France (SIF), créée pour fédérer les professionnels de l’enseignement et de la recherche en informatique, publiait un communiqué saluant cette « initiative propre à développer chez tous les élèves une citoyenneté numérique éclairée », tout en regrettant que ce dispositif exclue les lycées professionnels, « qui représentent plus de 28% des élèves ».

Elle souligne qu’un enseignement d’IA au lycée « nécessite de disposer a minima de professeurs d’informatique en nombre ». Or, « à peine une petite centaine de professeurs d’informatique, certifiés ou agrégés, établissements publics et privés confondus, sont recrutés en moyenne chaque année depuis 2022 », alors qu’on dénombre « environ 19 000 » classes de seconde en France, et qu’il faudrait donc en ouvrir « plusieurs centaines » par an, et leur proposer une formation continue :

« Le premier enjeu consiste donc à intégrer dans chaque lycée au moins un enseignant d’informatique avec un bagage complet pour que chaque élève puisse comprendre les fondements scientifiques informatiques de l’IA. »

Le deuxième enjeu consiste à pourvoir ces enseignants d’un programme à la hauteur de l’objectif affiché, « avec une colonne vertébrale scientifique », ainsi qu’une « sensibilisation aux enjeux environnementaux, éthiques et d’autonomie ».

Le troisième enjeu est « comme c’est le cas pour le français et pour les mathématiques – de conférer à l’enseignement de l’informatique et de l’IA un statut de bien culturel commun », conclut la SIF, afin de les « installer définitivement au cœur des compétences des générations qui font le XXI^e siècle » :

« Un an de préparation ne sera pas superflu pour y parvenir ! Pour favoriser le succès de ce projet, il faudra s’appuyer sur l’expérience d’une pluralité d’acteurs – dont la Société informatique de France – qui mènent déjà des réflexions sur ces sujets et peuvent dès aujourd’hui contribuer utilement à la création et au déploiement d’un tel enseignement. »

Un levier précoce pour lutter contre les « fortes disparités entre filles et garçons »

Ce 20 juillet, Edouard Geffray a précisé (.pdf) que l’horaire hebdomadaire de SNT « sera désormais fixé à 2 heures » :

« L’enseignement rénové de SNT conservera un ancrage scientifique. Il visera à faire comprendre le rôle central des données, à consolider la pensée informatique et algorithmique, ainsi qu’à faire appréhender la réalité matérielle et des infrastructures du numérique. Il devra permettre de saisir les enjeux environnementaux, géopolitiques, économiques, informationnels et démocratiques qui structurent les espaces numériques, notamment les réseaux sociaux. »

Le ministre de l’Éducation souligne qu’au sein de ce programme, le volet consacré à l’intelligence artificielle visera à :

• « poser les bases d’une compréhension scientifique et technique de l’IA, sans technicité excessive à ce niveau, articulée à une réflexion sur les données, leurs biais et leur protection, ainsi qu’à la question de la souveraineté numérique ;
• développer l’esprit critique en abordant les dimensions sociétales, éthiques, juridiques, notamment en termes de protection de la vie privée ou de secrets protégés, et environnementales, en articulation avec l’éducation aux médias et à l’information et avec l’enseignement moral et civique ;
• donner à chaque élève les clés d’un usage éclairé de l’IA, dans le cadre du cadre de référence des compétences numériques. »

Le ministre y souligne également que les filières et métiers du numérique et de l’intelligence artificielle restant « marqués par de fortes disparités entre filles et garçons », l’enseignement de SNT dès la seconde « est un levier précoce pour agir sur ces inégalités ».

Le programme révisé devra dès lors « susciter, chez les filles comme chez les garçons, l’intérêt et la confiance nécessaires à un engagement vers ces études et métiers, à travers des exemples et des activités donnant à voir une représentation équilibrée des femmes et des hommes ».

Full-Scale Deflection

Alors que plusieurs pays européens viennent de donner leur feu vert, le ministre des Transports Philippe Tabarot explique que la France n’est pas encore disposée à autoriser la conduite assistée de Tesla, dite FSD pour Full Self Driving. Il affirme vouloir se ranger derrière le cadre réglementaire européen, et dit attendre des véhicules autonomes homologués en France dès 2027.

Les conducteurs de Tesla vont devoir prendre leur mal en patience. Bien que les Pays-Bas, la Lituanie, l’Estonie, le Danemark et la Belgique aient donné leur feu vert, la France ne souhaite pas autoriser l’activation du mode de conduite automatique supervisée dit FSD, pour Full Self Driving. C’est du moins la position exprimée mercredi 22 juillet par le ministre des Transports Philippe Tabarot, dans une vidéo publiée sur le site Agora, qui propose aux internautes de soumettre leurs questions au gouvernement.

Excès de vitesse et vigilance insuffisante des conducteurs

Le ministre indique répondre à la question d’un certain Ludovic, qui s’enquiert de la possibilité d’utiliser le mode FSD en France. Et sa réponse se veut sans équivoque : « En France, on considère que ce système apporte un certain nombre de progrès technologiques mais que les contreparties en termes de sécurité ne sont pas encore suffisantes pour une autorisation en l’état ».

Tesla présente pour mémoire ce mode FSD comme une « conduite automatique supervisée », ce qui n’est pas exactement la même chose qu’une conduite totalement autonome. La fiche produit de ses véhicules décrit d’ailleurs le FSD comme une agrégation de fonctionnalités d’aide à la conduite (assistance au maintien de cap, reconnaissance des feux de signalisation et des panneaux, etc.).

En pratique et contrairement à un système de conduite totalement autonome, la surveillance active du conducteur reste un prérequis, même si Tesla assure que les performances sont suffisantes pour ne nécessiter qu’une « intervention minimale ». Longtemps vendu en supplément lors de l’achat d’une Tesla, le mode FSD est désormais commercialisé sous la forme d’un abonnement mensuel (99 euros par mois). Son activation reste cependant subordonnée aux autorisations réglementaires.

Et sur ce point, Philippe Tabarot exprime deux réserves principales. La première concerne les dépassements de vitesse dont se rendrait coupable le FSD. « S’il constate que les véhicules autour de lui roulent plus vite, en clair, il peut rouler à 70 km heure au lieu de 50 si le trafic circule à cette vitesse et ça sans demande explicite du conducteur. Dans certains cas, un véhicule peut ainsi aller jusqu’à 50 % au-dessus de la limite de vitesse autorisée. Le code de la route n’est donc pas respecté », avance le ministre.

L’autre point d’achoppement concerne les mécanismes mis en œuvre par Tesla pour garantir que le conducteur soit pleinement attentif à la conduite lors de certaines manœuvres comme les changements de voie ou les franchissements de ronds-points. « Pourtant, un manque d’attention peut avoir des conséquences très graves aussi bien pour les personnes à l’extérieur que pour les occupants du véhicule », déclare le ministre, avant de rappeler que le conducteur reste pénalement responsable en cas d’erreur d’un système d’aide à la conduite.

Des véhicules réellement autonomes homologués dès 2027 ?

Philippe Tabarot ne se dit pas foncièrement opposé à l’homologation de la conduite automatique supervisée de Tesla, mais réclame des évolutions du système, suivies d’une nouvelle évaluation. « Je tiens à le souligner : la France soutient ces technologies et leur déploiement doit se faire dans un cadre de confiance qui permet d’évaluer les systèmes et de déterminer les ajustements du FSD nécessaires pour garantir un haut niveau de sécurité ».

En attendant, le ministre rappelle que la France encadre depuis plus de dix ans des expérimentations autour du véhicule autonome. Et formule un objectif pour le moins ambitieux : « En France, plus de 200 expérimentations de véhicules autonomes ont été réalisées depuis 2015. C’est une base solide, mais je veux aller plus loin et permettre l’arrivée de véhicules autonomes homologués en France dès 2027 ».

Relayées par des actionnaires et soutiens de l’entreprise sur X, ces déclarations ont suscité un commentaire d’Elon Musk. « Retarder l’approbation de FSD en France coûtera des vies », a estimé le patron de Tesla, qui a fait de la conduite autonome l’un des principaux axes stratégiques de l’entreprise, incarné notamment par le projet Cybercab (ou Robotaxi).

Une accidentalité limitée, mais en hausse

Musk vante depuis longtemps les performances du FSD, nourri par « des données de conduite anonymes prélevées sur des milliards de miles » et jusqu’à « sept fois plus sûr » qu’un conducteur humain, selon la communication de Tesla. L’expérience acquise dans les pays où le FSD est déjà autorisé confirme la fiabilité générale du système, mais elle souligne aussi qu’il n’est pas exempt de défauts.

Aux États-Unis, Tesla a par exemple rapporté à l’agence fédérale en charge de la sécurité routière (la NHTSA) 207 accidents survenus alors que le FSD était enclenché pour le seul mois de mai 2026, soit le plus haut volume jamais rapporté par le constructeur. Le média Electrek, qui révèle ce chiffre, salue les performances générales du dispositif, le qualifiant de meilleur système de niveau 2 disponible sur le marché.

Il signale dans le même temps un paradoxe qui va dans le sens des déclarations de Philippe Tabarot. Les progrès du système, et la façon qu’a Tesla de communiquer sur une promesse de conduite automatique (et non sur un simple ensemble d’assistances au conducteur) participent à une forme de déresponsabilisation des conducteurs, qui délèguent de plus en plus les manœuvres à la machine, et provoquent de ce fait une augmentation du nombre d’accidents, alors même que la technologie s’améliore.

Un levier commercial bien identifié

La récente publication des résultats financiers de Tesla pour le deuxième trimestre 2026 (PDF) révèle quant à elle l’importance croissante du FSD dans le modèle économique de l’entreprise. Elle revendique désormais 1,48 million de souscriptions actives, sur un total de 9,7 millions de véhicules livrés depuis son lancement. L’homologation du système est par ailleurs présentée comme un facteur de dynamisation des ventes sur les marchés concernés :

« Nous avons également atteint des taux d’adoption record pour le FSD en Amérique du Nord, plus de 55 % des nouvelles livraisons incluant un abonnement à cette fonctionnalité. Dans le prolongement de l’autorisation de déployer le FSD aux Pays-Bas, nous avons obtenu des autorisations supplémentaires en Lituanie, en Estonie, au Danemark et en Belgique ; à la date de juillet, les clients de ces pays avaient parcouru plus de 50 millions de kilomètres (31 millions de miles) en mode FSD. Nous constatons un vif intérêt pour nos véhicules sur les marchés où le FSD est autorisé. »

Première fois, mais pas la dernière

Dans un billet de blog, l’entreprise explique comment l’apparition d’une faille critique dans le moteur de virtualisation KVM a entrainé une vaste campagne de mises à jour dans ses infrastructures. Elle a choisi une approche radicale, avec un impact assumé sur les clients, prévenus en amont.

L’incident débute le 6 juillet, quand les détails d’une faille critique apparaissent. Estampillée CVE-2026-53359 et surnommée Januscape, elle réside dans le code de shadow paging du moteur de virtualisation KVM sur l’architecture x86.

« KVM constitue le moteur de virtualisation sur lequel repose l’immense majorité des instances hébergées chez OVHcloud. Le mécanisme est le suivant : lorsqu’une modification externe d’un Page Directory Entry (PDE) survient, l’entrée RMAP peut conserver une référence vers une page mémoire déjà libérée. Le noyau déréférence ensuite cette page obsolète, ce qui peut entraîner un plantage de l’hyperviseur ou, dans les scénarios les plus défavorables, une élévation de privilège côté hôte. L’exploit est reproductible : un test interne sur un hôte non patché provoque un crash en environ deux minutes », explique OVHcloud dans son billet.

Le lendemain, OVHcloud déclenche une cellule de crise pour aborder la situation, avec la question centrale : comment mettre à jour des dizaines de milliers de serveurs hôtes hyperviseurs, représentant environ un million de machines virtuelles ?

Cinq solutions, aucune idéale

Comme l’entreprise l’explique dans son billet, cinq possibilités étaient sur la table. Elle pouvait attendre l’arrivée des noyaux Linux officiels mis à jour, mais elle aurait été alors « tributaire d’un agenda tiers ». Un live patch ? Une opération « sensible par nature », qui permet de gagner du temps mais entraine aussi une réduction du niveau de durcissement et une baisse des capacités de détection en cas de compromission.

OVHcloud a considéré rapidement la désactivation de la virtualisation imbriquée, qui permet notamment de lancer des machines virtuelles à l’intérieur d’autres machines virtuelles. La solution est écartée, faute de pouvoir mesurer l’impact sur les clients.

Une piste plus sérieuse était la migration live, depuis des hôtes vulnérables vers d’autres vides et patchés. L’option est décrite comme « très satisfaisante » pour la continuité, sans impact sur les machines virtuelles. Elle a toutefois un sérieux désavantage : elle prend beaucoup de temps. OVHcloud la garde sous le coude pour certaines machines critiques.

La solution adoptée consiste finalement à mettre les mains dans le cambouis, en intégrant soi-même le patch dans les noyaux utilisés, en diffusant ces derniers et en redémarrant la totalité des hôtes.

Un « patching unilatéral à impact contrôlé »

Le choix de cette solution est « assumé », selon OVHcloud. Elle affirme qu’il s’agissait de la seule solution possible pour tenir compte des paramètres : la criticité de la faille, le nombre de machines à traiter et le degré de perturbation pour les clients. « Une action rapide et globale protège le plus grand nombre, quitte à impacter une minorité de manière temporaire », ajoute OVHcloud.

Tout s’est très vite enchainé. Le soir du 7 juillet, le « backport » du correctif est réalisé dans le noyau et les tests de validation commencent. Dans les heures qui suivent, les équipes confirment que le noyau mis à jour n’est plus sensible à la faille. Dans la foulée, le comité exécutif donne son feu vert pour un déploiement dès le lendemain matin.

OVHcloud n’a cependant pas déclenché ce déploiement sur la totalité des machines virtuelles au même instant. L’opération commence dans la région Sydney, avec plusieurs avantages : le nombre d’hôtes est limité, la plage de déploiement correspond aux heures de bureau en France et l’entreprise pourra collecter les premiers retours, avant de se tourner vers des déploiements plus importants. Le 8 juillet, en début d’après-midi (heure de Paris), tous les hôtes VPS (Virtual Private Server) de la région sont mis à jour et redémarrés.

L’entreprise suit littéralement le soleil : « Chaque région prend le relais à son tour, sur sa matinée locale, en transmettant le contexte à la suivante ». Elle estime avoir récolté assez de retours pour lancer la première vague européenne sur les VPS (RBX, GRA6, WAW, DE, SBG, MIL, UK) à 18h30, toujours le 8 juillet. À chaque fois, les VPS sont migrés les premiers, l’offre Public Cloud présentant d’autres défis. Les régions à plus faible densité sont traitées d’abord, tandis que celles à fort volume sont « orchestrées avec une granularité plus fine, lot par lot, pour diluer le risque ».

Plusieurs mécanismes ont été mis en place pour limiter les risques pendant les opérations, notamment des seuils d’arrêt. Chaque vague de redémarrages était bornée par un seuil d’arrêt automatique : 15 hôtes en panne simultanée pour les régions à forte densité (GRA, RBX, BHS), 5 hôtes pour les autres, avec arrêt systématique à 06h00 locales ou sur demande du centre de données. Ce mécanisme vise à ne pas superposer des redémarrages supplémentaires à une situation de panne matérielle déjà en cours de traitement.

Les orchestrateurs ont en outre calculé un graphe de co-localisation par projet et ont défini des vagues mutuellement exclusives. Ainsi, deux hôtes portant des instances du même projet ne sont jamais redémarrés dans la même fenêtre, un hôte devant être revenu en service avant le lancement du suivant dans la même classe. Cette règle est appliquée en « best effort », non garantie à 100 % sur l’ensemble du parc.

Des incidents quand même

Malgré les précautions, des problèmes sont quand même apparus. Certaines machines virtuelles n’ont pas redémarré après le reboot de leur hôte, dès la première vague européenne. Un conflit a été détecté entre libvirt-guests.service et Nova Compute, provoquant l’arrêt des instances sans synchronisation API.

Dès le deuxième jour, un problème de corruption de données est apparu sur des services synchrones. Des machines virtuelles réparties sur trois clusters ont présenté des données corrompues, à cause probablement d’un redémarrage forcé en pleine écriture disque. La période d’attente avant kill forcé a été étendue à 60 secondes, et un script de redémarrage automatique des VM restées éteintes a été déployé.

À Paris, dans la nuit du deuxième au troisième jour, des soucis de saturation mutuelle sont apparus entre les API Nova et Neutron. Cette dernière plafonnant à 10 processus, la situation a provoqué deux heures de panne HTTP 503. Le correctif appliqué a consisté à augmenter le nombre de workers Neutron de 10 à 30 et celui des processus Apache de 10 à 32.

Sur le plan matériel, environ 20 à 30 hôtes sur 6 000 ne sont pas revenus seuls après la première nuit de redémarrages (barrettes mémoire défaillantes, configuration BIOS, interfaces réseau inactives), indique OVHcloud. Certains cas aux États-Unis ont même nécessité un retrait de la batterie CMOS et un drain d’alimentation. Des techniciens ont été mobilisés en renfort sur chaque site pour intervenir en priorité sur les hôtes en échec.

En tout, l’opération s’est étalée sur 11 jours.

Ce type d’opération se reproduira, assure OVHcloud

Côté communication aux clients, la stratégie retenue a été l’envoi de messages ciblés de manière progressive, déclenché région par région et vague par vague, aux seuls clients concernés par les hôtes programmés.

Le choix initial de ne pas ouvrir de page publique de statut visait à ne pas exposer la séquence de déploiement, un arbitrage voulu entre transparence et risque (éviter d’inciter des clients à tester l’exploit). Les limites de ce dispositif sont pointées par OVHcloud : pour GRA6 (près de 90 000 clients non contactés), l’envoi massif d’e-mails a été écarté pour ne pas saturer le support, ce qui a conduit à un pivot vers une bannière conditionnelle dans le Manager (basée sur une liste de comptes impactés) le lendemain et – finalement – la création d’une page de statut Public Cloud le jour suivant.

En revanche, malgré les détails fournis par l’entreprise, le descriptif est essentiellement qualitatif : on ne connait pas le nombre total d’incidents clients, la durée cumulée d’indisponibilité, ni les éventuelles compensations.

L’entreprise indique en tout cas avoir tiré des enseignements de cette migration, car elle n’avait jamais été confrontée à une situation critique d’une telle ampleur, les épisodes précédents ayant été traités par rotation naturelle du parc combinée à des migrations live planifiées sur une durée longue.

OVHcloud se veut claire également : ce type de procédure d’urgence est amené à se reproduire compte tenu du rythme des publications de vulnérabilités noyau, sous l’impulsion de l’IA générative notamment. Les axes d’amélioration identifiés par l’entreprise portent sur trois points : la maîtrise de l’impact brut des redémarrages, l’information en amont des clients, et la procédure d’accompagnement des clients impactés. L’entreprise évoque donc un « exploit » réalisé par ses équipes, mais ajoute : « Nous devrons faire mieux la prochaine fois, aussi bien dans la maîtrise de l’impact brut des redémarrages que dans l’information en amont des clients et dans la procédure d’accompagnement des clients impactés lors des opérations ».

Finalement un oeuf, n’est-ce pas un peu une forme de grosse boulette ?

La fondation Raspberry Pi étoffe son offre en matière d’écran avec le lancement d’une version 10 pouces de son Touch Display 2, l’écran tactile introduit en 2024 d’abord en format 7 pouces (voir notre prise en main) puis décliné en 5 pouces l’année suivante.

Le nouveau venu adopte une dalle 24 bits affichant 1 200 x 1 920 pixels, sur une surface utile de 135,4 x 216,6 mm. Pensé principalement pour une utilisation portrait (avec un ratio 1:2), il offre d’après sa fiche technique (PDF) des angles de vision de 85 degrés, une luminosité de 400 cd/m², et un tactile multi-points capable de reconnaitre jusqu’à dix doigts (contre cinq pour les formats 5 et 7 pouces).

Affiché au prix public conseillé de 80 dollars (hors taxes et hors frais de port), le Touch Display 2 10 pouces revendique toujours une intégration sans effort avec l’environnement Raspberry Pi. Son dos permet d’installer un mini-ordinateur qui alimentera directement l’écran, et la dalle tactile est reconnue nativement par le système d’exploitation.

Le passage à une résolution plus élevée entraine toutefois une limitation : la version 10 pouces exige quatre lignes DSI pour fonctionner correctement, ce qui restreint sa compatibilité au Raspberry Pi 5 ou au Raspberry Pi Compute Module. Les Raspberry Pi 4 et modèles antérieurs restent quant à eux limités aux versions 5 et 7 pouces de l’écran.

Entre autres usages, la fondation Raspberry Pi suggère « les tableaux de bord domotiques, les bornes interactives, les interfaces robotiques, l’affichage dynamique, les systèmes de jeu, les panneaux de commande d’équipements d’atelier ou de laboratoire », etc. En parallèle de cet écran « officiel », il existe bien sûr d’innombrables écrans de toute taille issus de fabricants tiers et pensés pour l’environnement Raspberry Pi.

• 13 ans de Raspberry Pi : du 1 au 5, en passant par les Zero, Pico et Compute Module