Cet été, Next vous propose des mini-jeux. Aujourd’hui, nous allons tester vos connaissances avec une version maison du jeu Tu te mets combien. Les premières questions sont faciles, mais cela se corse rapidement !
Attention à la première question, il y a un piège. Les autres sont toutes évidentes ; ou alors c’est le contraire, allez savoir ! Pour la 10ᵉ question, nous allons être gentils, vous avez droit à une marge de ± 1 signe, sinon c’est trop dur (qu’est-ce qu’on est sympa quand même) !
Pour les autres, les réponses se trouvent parfois dans des actualités Next, parfois dans un de nos magazines, parfois… on ne sait pas trop où ; à vous de chercher.
Réfléchissez-y et notez vos réponses quelque part. La semaine prochaine, nous vous expliquerons comment participer à notre concours pour tenter de gagner des cadeaux, notamment des dessins de Flock.
Voici nos 10 questions :
Next est-il un site avec du contenu porno ou des actualités sur la tech ?
Le site de Next est-il basé sur WordPress, Skyblog ou MySpace ?
Comment s’appelait Next avant son rachat ?
À la date du 5 septembre, combien de sites sont identifiés dans notre extension Gen AI ?
Quelle est l’impédance maximale trouvée sur un vieux câble USB pendant nos tests ?
Avant d’être journaliste : qu’a fait d’improbable Jean-Marc ; qu’a transporté Vincent ?
Arrivé sur Next pour parler de stockage, de quelle marque parlait la première actu de Seb ?
Chez LCDI, combien coûtait dans les années 90 un disque dur Corner de 420 Mo ?
Quelle relation ont eue Mathilde et Jean-Marc avant de travailler ensemble sur Next ?
Il y a 15 ans, en septembre 2011, combien de signes ont été publiés dans les actus Next ?
L’enquête lancée par la section cybercriminalité du parquet de Paris et confiée à l’office anti-cybercriminalité (Ofac) suite au piratage de la plateforme cet été de la Direction générale des finances publiques a débouché sur l’interpellation de deux suspects, rapporte Franceinfo.
Illustration : Flock
Suite à son interpellation le 18 août, un homme de 18 ans a été mis en examen le 20 août et placé en détention provisoire. Un second suspect âgé de 16 ans, interpellé le 26 août, a été libéré après sa garde à vue. Son matériel sera cependant utilisé par les enquêteurs. Le premier suspect, domicilié en région parisienne, ferait partie du groupe de pirates ZeroBytes bien connu des services. Outre la DGFiP, il serait derrière les piratages ces derniers mois de l’Éducation nationale, France Travail, ou encore SFR.
Le suspect n’est pas un perdreau de l’année : il avait en effet été mis en examen en juin 2024 et janvier 2025 dans deux dossiers concernant des attaques informatiques, et placé sous contrôle judiciaire dans ces deux cas.
Il a été mis en examen pour les chefs d’accusation d’« accès et maintien frauduleux dans un système de traitement automatisé de données (STAD) à caractère personnel en bande organisée », pour « modification frauduleuse, extraction, transmission, reproduction et détention de données contenues dans un STAD à caractère personnel en bande organisée », ainsi que pour « participation à une association de malfaiteurs en vue de la préparation d’un délit puni de 10 ans d’emprisonnement ».
L’enquête se poursuit pour interpeller les autres personnes mises en cause dans le piratage du fisc.
Sync-in est une solution d’hébergement et de synchronisation de fichiers libre et open source (licence AGPL 3). Après une version 2.4 en juin, la 2.5 vient de paraître, avec à son bord plusieurs nouveautés importantes.
Elle introduit d’abord un système de favoris, une vue dédiée dans laquelle on peut placer aussi bien des fichiers que des espaces collaboratifs et des partages. On y trouve également des filtres, options de tri, informations sur leur emplacement ainsi qu’un affichage en liste ou en galerie.
Sync-in 2.5 introduit aussi un panneau de sélection. Il s’ouvre automatiquement lorsqu’on clique sur l’icône d’un fichier, avec ou sans sélection multiple. Dans le panneau, on trouve des informations sur les éléments choisis, dont la taille totale et un accès aux fonctions disponibles.
L’activité récente a été unifiée : les fichiers et commentaires sont réunis dans la même chronologie, que l’on peut organiser par période, avec possibilité de filtrer par type d’activité. La nouvelle mouture améliore aussi les copies, déplacements et envois, avec un volet repensé et la possibilité d’ignorer les fichiers quand des conflits sont détectés. Citons en outre une amélioration générale de l’accessibilité, ainsi qu’une meilleure recherche en texte intégral.
La version 2.5 comporte en outre quelques changements importants liés à la sécurité. Le plus significatif est sans doute l’obligation par défaut d’avoir une adresse e-mail vérifiée lorsque l’on passe par un fournisseur OIDC (OpenID Connect). Si c’est impossible pour une raison ou une autre, la personne chargée de l’administration du serveur devra modifier la valeur de l’option auth.oidc.security.requireVerifiedEmail pour false.
L’État français a décidé de rebooster sa recherche dans le nucléaire de fission en lançant un nouveau programme de recherche sur le thème financé par le plan d’investissement public France 2030. Dans son communiqué de presse annonçant la création de ce programme, le CNRS l’ancre dans une « volonté d’accompagner la transition énergétique ».
Le programme est doté de 18 millions d’euros sur six ans et est piloté par le CNRS en collaboration avec le CEA.
Réacteur centrale nucléaire. Nicolas HIPPERT, Unsplash
L’idée du programme semble de réactiver une recherche sur le nucléaire en perte de vitesse, avec la volonté de :
Produire de nouvelles connaissances fondamentales ;
Renforcer les infrastructures expérimentales indispensables à ces recherches ;
Former une nouvelle génération de scientifiques spécialisés dans l’énergie nucléaire.
La moitié des 18 millions d’euros partira directement dans le financement de personnels de recherche, notamment de contrats doctoraux et postdoctoraux (les postes de chercheurs titulaires étant très peu financés sur des programmes de recherche de ce genre en France).
L’autre moitié du financement servira aux équipements et infrastructures scientifiques « comme des accélérateurs de particules, des réacteurs expérimentaux ou des laboratoires de radiochimie ».
Concernant les objectifs de recherche, le programme se donne l’ambition de produire des données fondamentales sur les processus nucléaires mais aussi d’analyser le comportement du corium, « un mélange de matériaux formé lorsqu’un cœur de réacteur fond durant un accident ». Les chercheurs devront aussi aller à la découverte du devenir des noyaux radioactifs (pour comprendre comment gérer leur fin d’utilisation).
Enfin, le programme prévoit le développement de « nouveaux matériaux capables de résister durablement aux fortes irradiations auxquelles sont soumis les réacteurs nucléaires ».
Les scammers migrent de plus en plus de l’email vers les plateformes de collaboration d’entreprise comme Microsoft Teams pour mettre en place leurs attaques. En se faisant passer pour le support informatique, ils peuvent aller très loin dans l’infrastructure de l’entreprise visée.
Le laboratoire de recherche en cybersécurité Unit 42 de l’entreprise Palo Alto Networks a alerté ce mardi 1er septembre : des pirates ont mis en place des campagnes pour cibler le système informatique d’entreprises via des appels vocaux sur Microsoft Teams.
Comme souvent quand il s’agit de scam, les pirates utilisent leurs compétences en social engineering. « Ce qui semble être une conversation anodine est en réalité un appel de hameçonnage vocal (vishing), au cours duquel les cybercriminels tentent de contraindre leurs victimes à exécuter des outils de surveillance et de gestion à distance (RMM) ou des virus sur mesure », explique Unit 42.
Utiliser le pouvoir social du support informatique
Notamment, pour que l’utilisateur se laisse manipuler, les pirates se font passer pour le support informatique de l’entreprise. Les chercheurs de Palo Alto Networks signalent avoir repéré une campagne particulière, qu’ils nomment Spring Ring, qui a ciblé entre janvier et avril 2026 plus de 150 employés d’au moins 10 entreprises. Pour certains, les pirates sont allés jusqu’à essayer d’atteindre le contrôleur de domaine de l’entreprise, le serveur qui permet de répondre aux demandes d’authentification et donne les accès aux employés.
Pour Unit 42, cette campagne illustre « la manière dont les plateformes de communication sont utilisées comme armes, l’identité devenant un vecteur d’attaque majeur ».
Les chercheurs de Unit 42 expliquent qu’ils ont détecté cette campagne après avoir observé un schéma suspect de création de discussions. De fait, l’attaque passe d’abord en chat où l’attaquant crée une discussion sous une identité qui semble demander une attention particulière (service d’assistance informatique ou personnel de support) avec un email au domaine proche de Microsoft (ici .onmicrosoft[.]com) et dont il maitrise le sous-domaine (par exemple : ithelp@InternalSystemsDaily[.]onmicrosoft[.]com).
L’attaquant lançait ensuite un appel audio pour lui faire faire des actions présentées comme de l’assistance technique. En fait, l’utilisateur lui donnait le contrôle à distance ou exécutait un virus sans le savoir. Pour mettre la pression sur l’utilisateur, l’attaquant peut appeler plusieurs fois si l’utilisateur ne répond pas.
Deux formes d’attaques : le contrôle à distance ou l’envoi vers un faux cloud de l’entreprise
Lors de la campagne Spring Ring, Unit 42 a repéré deux formes d’attaques. Dans la première, l’attaquant incite la victime à exécuter le logiciel de gestion à distance de son entreprise et ensuite à lui donner le contrôle à distance de son ordinateur. Après avoir vérifié les informations sur l’environnement, il utilise PowerShell pour télécharger un cheval de Troie à distance qui désactive l’antivirus, envoie des données de l’utilisateur et récupère ensuite d’autres virus.
Dans l’autre forme d’attaque, le pirate envoie l’employé vers un lien pointant vers un faux cloud de son entreprise, téléchargeant un virus dont l’exécutable mentionnait le nom de cette entreprise (par exemple : nomdelentreprise-org-filters-update-nomdelavictime.exe). Dès que celui-ci est exécuté, il assure sa persistance dans le système de Windows. Puis il lance une instance cachée et sans interface graphique de Edge pour installer une extension du navigateur de Microsoft. Un script Python est enfin lancé pour scanner les ports SMB, cibler le contrôleur de domaine de l’entreprise via Microsoft NT LAN Manager et tenter « une attaque avec PetitPotam[une preuve de concept (PoC) permettant de forcer des hôtes Windows à s’authentifier auprès d’autres machines, ndlr] afin de contraindre le contrôleur de domaine à s’authentifier auprès d’une machine contrôlée par l’attaquant ».
Pour l’Unit 42, cette campagne montre un « tournant stratégique en matière d’ingénierie sociale, les attaquants allant désormais au-delà du hameçonnage par e-mail pour cibler les outils de collaboration d’entreprise ».
Microsoft alerte aussi
Cela semble aussi le cas du côté de Microsoft. En effet, quelques jours plus tard, les chercheurs de l’entreprise de Redmond ont décrit le même genre d’attaques utilisant les outils de surveillance et de gestion à distance. Ici, PowerShell était utilisé pour télécharger un paquet MSI malveillant qui met ensuite en place un environnement Node.js et un script JavaScript permettant, de façon persistante, l’exécution de commandes.
L’éditeur de Teams semble désemparé devant ce genre d’attaques, affirmant que « cette campagne repose moins sur l’exploitation de la plateforme que sur la persuasion des utilisateurs de mettre en place des processus d’accès à distance sécurisés au sein d’outils de collaboration légitimes ». Microsoft ajoute que les entreprises « doivent considérer toute demande d’assistance externe non sollicitée comme intrinsèquement suspecte et mettre en place des défenses à plusieurs niveaux, couvrant l’identité, les terminaux et la collaboration ».
Dans ses conseils, en plus du renfort de la sensibilisation des employés, Microsoft pousse quand même à utiliser des outils contre les attaques de type « ingénierie sociale », contre le phishing en général, et d’activer les règles ASR de réduction de la surface d’attaque « qui bloquent le contenu exécutable provenant des e-mails et des interpréteurs de scripts, la création de processus à partir de PowerShell/WScript/cmd, ainsi que l’exécution de contenu téléchargé, afin d’empêcher la mise en place de scripts et de fichiers MSI ». L’éditeur pousse aussi les DSI des entreprises à limiter ou surveiller l’utilisation des logiciels de gestion (et d’assistance) à distance et à contrôler quels outils sont autorisés dans leurs environnements.
L’éditeur audio multiplateforme et open source Audacity était connu pour son interface très « old school ». Les développeurs ne voulaient manifestement plus de cette étiquette : la nouvelle version 4.0 modernise largement l’interface.
Dans Audacity 4.0, l’interface a été réécrite en Qt. Esthétiquement beaucoup plus actuelle, elle permet la réorganisation libre des panneaux et la création d’espaces de travail, qui enregistrent les dispositions personnalisées. Des thèmes clair, sombre et haut contraste apparaissent également. Signalons aussi un spectrogramme redessiné au rendu plus rapide et des effets retravaillés, sur le plan esthétique et des performances.
Outre le changement visuel, les nouveautés sont nombreuses. Par exemple, l’édition par clips a été repensée. On peut maintenant sélectionner directement les clips, en modifier plusieurs simultanément, les grouper ou encore les déplacer librement entre les pistes. Le découpage se veut plus intuitif en proposant son propre outil et des commandes dédiées. De même, la tête de lecture reste visible pendant la navigation et peut être déplacée pendant la lecture. Chaque en-tête dispose en outre de vumètres pour l’enregistrement et la lecture.
La nouvelle mouture améliore aussi sa gestion des périphériques système, leur actualisation et le mapping personnalisé des canaux. Les changements opérés au niveau du système se reflètent maintenant dans l’application. De plus, la version Windows supporte désormais le protocole ASIO (Audio Stream Input/Output), permettant à Audacity une communication plus directe avec la carte son, avec à la clé une amélioration de la latence et de la fiabilité.
Attention cependant, car toutes les fonctions d’Audacity 3 ne sont pas encore présentes dans la branche 4.X, dont les Time Tracks, les pistes MIDI/Note, le Mixer, le Macro Manager, VAMP/LADSPA ou encore Play-at-speed. Les développeurs promettent leur retour dans de prochaines versions, signe du chantier conséquent qu’a été cette version.
Elle s’accompagne d’ailleurs d’un nouveau format de fichier, logiquement nommé .aup4, pour prendre la relève des fichiers .aup3. Ces derniers peuvent être ouverts avec Audacity 4.0 et seront automatiquement convertis.
La nouvelle mouture peut être téléchargée depuis le site officiel. Des versions Windows, macOS et Linux sont comme d’habitude fournies. On remarque que l’application s’est dotée pour l’occasion d’une nouvelle icône, reprise désormais partout sur le site.
Christine de Stephen King, version tondeuse à gazon
Trois chercheurs indépendants en cybersécurité ont découvert 14 failles de sécurité critiques au sein de l’infrastructure qui sous-tend le fonctionnement des robots tondeuses Mammotion. Elles exposaient potentiellement jusqu’à 337 000 comptes utilisateurs, ouvraient l’accès aux infos des réseaux connectés, et permettaient accessoirement la prise de contrôle à distance.
Un gazon sans doute coupé au cordeau, mais une véritable porte ouverte sur le jardin. Trois chercheurs en cybersécurité se sont penchés sur l’application mobile fournie par Mammotion pour le pilotage de ses robots tondeuses.
Ils y ont découvert comment accéder en seulement deux requêtes à un compte admin branché sur l’infrastructure cloud qui en sous tend les fonctions connectées. De là, les failles se sont enchaînées, jusqu’à représenter un total de 14 vulnérabilités, présentées dans un rapport dédié.
Des robots ouverts aux quatre vents
À l’appui de leurs travaux, les trois chercheurs, Sammy Azdoufal (@n0tsa), Andreas Makris (@Bin4ryDigit) et Kevin Finisterre (@d0tslash), ont réalisé une attaque par piratage de compte sur un robot tondeuse détenu en propre. Ils revendiquent une prise de contrôle quasi totale, avec possibilité de piloter le robot à distance et visualiser les images transmises par la caméra.
Image : Mammotion
S’ils affirment ne pas avoir avoir parcouru l’ensemble des services cloud exposés, ils donnent un aperçu de la surface potentielle de l’attaque, estimée à 337 000 comptes utilisateurs énumérables sans authentification, répartis sur quatre serveurs régionaux, dont un serveur EU servant 85 pays, avec une « forte concentration en Allemagne, France et Suède ». Sammy Azdoufal, qui avait déjà mis au jour les failles de sécurité béantes des babyphones et caméras IP Meari et dix CVE dans des produits connectés Aqara, précise à Next qu’environ 49 000 comptes correspondent à des utilisateurs français.
Pour chaque appareil, l’accès découvert donnait selon eux la possibilité d’interroger le robot à distance et d’en faire remonter, sans vérification de propriété, les informations réseau telles que les coordonnées GPS, l’adresse IP sur le réseau local, l’adresse MAC, ou l’IMEI de la connexion mobile, mais aussi le SSID du Wi-Fi domestique, et le numéro IMSI de la carte SIM utilisée pour les communications en cas d’absence de Wi-Fi.
Les chercheurs affirment par ailleurs avoir pu énumérer 46 785 stations RTK dont les clés de chiffrement RSA-2048 étaient récupérables sans vérification de propriété. Ces stations sont un accessoire commercialisé par Mammotion (et d’autres fabricants) pour offrir une référence de positionnement plus précise que celle du GPS et donc améliorer la capacité du robot tondeuse à s’orienter dans le jardin ou respecter les instructions de tonte.
« La flotte RTK européenne de Mammotion fonctionne avec des cartes SIM M2M d’Orange France. Chaque station de base équipée d’un module 4G (IMSI 208012xxxxxxx) transmet des données d’identité cellulaire à tout utilisateur authentifié de l’application », affirment à ce sujet les chercheurs.
Si les données GPS d’un robot individuel suffisent pour localiser son emplacement, les chercheurs suggèrent, sans l’affirmer explicitement, que l’exposition de cette infrastructure de communication mobile ouvrait la voie à des attaques à plus grande échelle.
Une communication assez limitée
La première et peut-être la plus inquiétante découverte tient à la façon dont les chercheurs ont pu accéder au cloud de Mammotion. D’après leur rapport, le fabricant référençait dans son application un endpoint (un point de terminaison pour se connecter à l’infra) lié à son serveur situé en Chine qui retournait, sans authentification ou token préalable, un mot de passe à usage unique (on parle de code OTP, pour One-Time Password), qui en réalité n’expirait pas.
Ce code à usage unique est lié à la récupération en cas de mot de passe oublié. Pour un utilisateur lambda, il faut en principe une demande de réinitialisation pour que ce code soit généré, puis reconnu au niveau du endpoint. « Pour admin@mammotion.com, la situation était différente. L’administrateur n’avait apparemment jamais déclenché sa propre procédure de mot de passe oublié ; son code OTP enregistré n’avait donc ni durée de vie ni renouvellement. Il était juste là », décrivent les trois auteurs, avant de résumer : « Deux requêtes HTTP non authentifiées et vous possédez le compte administrateur Mammotion ».
Les vulnérabilités corrigées par Mammotion selon les trois chercheurs – capture d’écran
Le dépôt GitHub créé pour l’occasion liste également les échanges par écrit entre les trois chercheurs et les services techniques de Mammotion. La conversation achoppe principalement sur des questions de forme, peut-être motivées par le passif de Kevin Finisterre avec la marque, quelques années plus tôt. Ce dernier s’était en effet inquiété de voir un service SSH tourner sur son robot, et avait donc demandé à la marque le mot de passe permettant de s’y connecter pour investiguer le sujet. Il s’était vu opposer une fin de non recevoir.
D’après la transcription publiée dans ce rapport, Mammotion indique avoir pris en compte les remarques des chercheurs et implémenté des « mesures de protection » adaptées. Affirmant travailler avec des institutions externes dédiées à la sécurité, elle a en revanche refusé d’ouvrir un canal technique avec les intéressés qui réclamaient la mise en place d’un processus de divulgation responsable. Elle ne livre par ailleurs aucune réponse sur le fond, mais a tout de même fini par corriger les failles les plus sérieuses. C’est ce constat qui a conduit les trois auteurs à publier leur rapport, daté du 21 août et mis en ligne sur GitHub le 24 août dernier.
Leurs conclusions relèvent d’ailleurs que trois problèmes restent en suspens : un secret codé en dur dans un élément JavaScript public, un processus d’auto-enregistrement de clients avec une adresse de redirection arbitraire ouvrant, par exemple, la voie à des tentatives de phishing, et des sous domaines internes résolus via des DNS publics.
Sur sa page de support, Mammotion s’engage à assurer des mises à jour de sécurité continues pour tous ses produits pendant les cinq ans qui suivent leur mise sur le marché. Contactée par nos soins le 24 août et relancée depuis, l’entreprise n’a pas répondu à nos questions.
Dans la soirée de ce jeudi 3 septembre, quatre des principaux fournisseurs de services d’IA générative étaient inaccessibles.
Anthropic a d’abord signalé un problème sur Claude Sonnet 5 puis un nombre d’erreurs anormal sur Claude Mythos 5.1, Claude Fable 5.1, et Claude Opus 5. De son côté, OpenAI a relevé une hausse du nombre d’erreurs sur ChatGPT et Codex. Le statut de Grok indiquait hier soir aussi des problèmes. Et les utilisateurs de Gemini ont signalé des problèmes d’accès via le site Downdetector.
Cette panne simultanée de services d’entreprises indépendantes peut paraitre étonnante. Mais, dans la soirée (vers 21h38 heure française), SpaceXAI a publié un tweet pour s’excuser : « Nous sommes désolés pour les problèmes que vous avez pu rencontrer avec Grok à la suite d’une panne survenue ce matin dans notre centre de données de Memphis. Nous tenons également à présenter nos excuses à nos partenaires informatiques concernés ». L’entreprise d’Elon Musk ajoutait que « tous les systèmes ont désormais été rétablis et fonctionnent normalement ». « Et nous prenons des mesures correctives pour veiller à ce que cela ne se reproduise plus » a précisé sobrement Elon Musk.
Illustration : Flock
Rappelons que xAI (maintenant SpaceXAI) a ouvert en septembre 2024 au sud de Memphis un énorme datacenter nommé Colossus. L’entreprise d’Elon Musk en loue maintenant des parties à la plupart des acteurs du secteur, comme Anthropic.
Les premiers PC dotés d’une « superpuce » RTX Spark de NVIDIA sortiront au mois d’octobre. Les premiers modèles seront visibles durant l’IFA de Berlin qui ouvre ses portes aujourd’hui. Hélas, ni NVIDIA ni aucun partenaire n’annoncent de prix pour ces ordinateurs très haut de gamme.
Un « nouveau départ pour les PC Windows », rien de moins. C’est ainsi que NVIDIA présente de nouveau RTX Spark, un « Superchip » qui combine CPU, GPU et mémoire unifiée, à l’image des puces d’Apple. Les ordinateurs équipés de ce SoC seront tout spécialement à leur aise avec les agents IA, mais aussi le montage vidéo et les jeux. L’entreprise avait déjà largement communiqué sur RTX Spark début juin.
Les premiers PC Spark seront disponibles en octobre, mais on sait déjà à quelle sauce les premiers clients seront mangés. À l’occasion de l’IFA, Lenovo a levé le voile sur deux modèles de portables, le Yoga Pro 9n (15 pouces) et l’hybride Yoga 9n 2-in-1 (écran OLED de 16 pouces) qui peut devenir une tablette.
Acer présente de son côté un concept de PC de bureau compact qui affiche un design rétro pour le moins original. Aucun prix n’a été communiqué pour tous ces appareils, tandis que Dell, Asus, HP et Microsoft sont également partenaires du lancement.
Pour l’IA… et les jeux
NVIDIA a révélé deux spécifications. Le GPU de la RTX Spark haut de gamme intègre 6 144 cœurs CUDA Blackwell, le CPU 20 cœurs CUDA Grace, et il peut embarquer de 24 à 128 Go de mémoire unifiée. C’est une puce que l’on retrouvera non seulement dans les portables, mais aussi dans les PC de bureau.
L’autre modèle, destiné cette fois uniquement aux portables, contient un GPU de 5 120 cœurs CUDA Blackwell, un CPU de 18 cœurs CUDA Grace, et de 24 à 32 Go de mémoire unifiée. Selon Windows Central, cela permettrait d’avoir des machines autour des 2 000 dollars.
Ces puces feront tourner le système d’exploitation Windows sur Arm, qui finit petit à petit par gagner ses galons face au grand frère x86. Notamment en matière d’IA : les ordinateurs Spark seront ainsi « les premiers PC Windows au monde conçus spécialement pour les agents personnels », avait affirmé NVIDIA au printemps. Ils sauront ainsi utiliser le framework Windows Agent qui permet aux agents de travailler « en toute sécurité en arrière-plan, sous le contrôle du système d’exploitation ».
En plus des capacités IA, les PC Spark se présentent comme des champions du montage vidéo, des rendus 3D, de la compilation logicielle, et même… des jeux vidéo. Après tout, il s’agit d’une puce NVIDIA ! Electronic Arts, Embark, Krafton, Riot, NetEase, Ubisoft et Xbox sont partenaires de cette nouvelle puce ; plusieurs jeux prennent ou vont prendre en charge l’architecture, comme EA Sports F1 25, Apex Legends, Anno 117: Pax Romana, Arc Raiders…
NVIDIA et EA ont également travaillé à la compatibilité de l’outil anti-triche Javelin, qui équipe de nombreux jeux multi. Ce support pour les jeux est une barrière supplémentaire qui tombe en faveur de Windows sur Arm.
Microsoft rabote Xbox Cloud Gaming. Le service de streaming de jeux va imposer un quota d’heures à compter du mois de novembre.
Les abonnés Game Pass Essential devront ainsi se contenter de 5 heures par mois. La formule Premium sera limitée à 10 heures. Quant à l’enveloppe de l’offre Ultimate, elle dégonfle à 15 heures.
Actuellement, le cloud gaming est illimité, même si les temps d’attente sont plus longs pour les abonnés Essential. « Nous savons que l’introduction de limites constitue un changement important, en particulier pour les joueurs qui passent régulièrement davantage de temps à jouer via le cloud », écrit Xbox. Le changement devrait concerner 4 % des abonnés, selon l’entreprise.
Une fois le quota d’heures dépassé, le joueur dans le cloud pourra acheter du temps de jeu supplémentaire dans la boutique Xbox. Les prix ne sont pas encore connus. Cette nouveauté réduit encore l’intérêt du Game Pass, alors que Microsoft a exclu les épisodes de Call of Duty le jour de leur sortie en avril dernier (pour une bonne cause : réduire le prix des abonnements).
La petite PME qu’est Microsoft manque de moyens pour maintenir les serveurs et investir dans la fiabilité et les performances de son service. « Les coûts liés au cloud gaming augmentent à mesure que davantage de personnes utilisent le service et jouent plus longtemps », justifie l’entreprise. « Nous comprenons que, pour certains joueurs, cela revient concrètement à payer plus cher », ajoute-t-elle pour s’excuser.
En novembre, Xbox lancera également une nouvelle offre qui permettra aux joueurs non abonnés au Game Pass d’acheter du temps de jeu de streaming pour les jeux qu’ils possèdent (et qui sont compatibles). C’est une option pour ceux qui ont besoin d’un accès occasionnel au cloud et qui ne veulent pas du boulet d’un abonnement. Là encore, les détails sont inconnus.
Avec GPT-6 Astra, OpenAI ressort le grand mot : AGI. Le nouveau modèle affiche des résultats spectaculaires sur un benchmark indépendant, mais il reste très cher, personne ou presque ne peut s’en servir, et il n’est certainement pas la preuve que l’intelligence artificielle générale est arrivée.
GPT-6 Astra fait entrer OpenAI dans l’ère de l’AGI, l’intelligence artificielle générale. C’est le message qu’a voulu faire passer Greg Brockman, le président de l’entreprise, qui a fait la tournée des popotes pour propager la bonne parole. On attendra d’en savoir plus, et surtout les tests indépendants, pour déterminer si Astra répond réellement aux critères pour le moins flous de l’AGI.
Ce modèle, aussi annoncé comme « un saut générationnel en matière de capacités », rien de moins, se limite pour le moment à la poignée d’organisations qui participent au programme Daybreak. OpenAI promet cependant que GPT-6 sera déployé « dans les prochains jours » auprès des abonnés Plus, Pro, Business et Entreprise, ainsi que via l’API et AWS.
Attention toutefois au coût, en particulier pour la tarification à l’usage avec l’API. GPT-6 Astra revient en effet au même prix que Fable 5.1 : 10 dollars par million de tokens en entrée, 50 dollars en sortie. La hausse est vertigineuse (+ 150 % en entrée comme en sortie) par rapport à GPT-5.6 Sol. Mais « j’ai l’impression que nous avons franchi un changement qualitatif », a déclaré Greg Brockman. Ça se paie.
OpenAI a tout de même souligné que grâce à sa grosse tête bien faite, Astra utilise « nettement moins de tokens au total par tâche », mais on ignore encore concrètement dans quelle mesure cette efficacité se traduira par des coûts plus bas. En tout cas, sur les benchs réalisés par OpenAI, Astra présente plutôt bien :
Le 1er septembre, OpenAI avait fait un point d’étape sur Astra et ses capacités en matière de cybersécurité. Le modèle n’est pas impliqué dans l’attaque d’Hugging Face, néanmoins l’entreprise en a profité pour intégrer les enseignements de cette fuite d’agents. « Nous estimons que les protections d’Astra réduisent suffisamment le risque de préjudices graves pour permettre sa sortie conformément à notre cadre de préparation ». Ouf.
Loin de l’AGI selon ARC-AGI-3
Un benchmark indépendant apporte un peu de nuance au message forcément marketing et flatteur de Greg Brockman. Astra est en effet passé au tamis d’ARC-AGI-3, un benchmark publié par l’ARC Prize Foundation, une organisation à but non lucratif cofondée par François Chollet, créateur de Keras, la bibliothèque open source pour créer et entraîner des réseaux de neurones, très utilisée.
ARC-AGI-3 ne dit pas qu’Astra est une AGI ; les auteurs indiquent clairement que saturer le bench ne constitue pas une preuve d’AGI. « Même si nous pensons qu’Astra représente un progrès significatif vers la généralisation, nous n’affirmons pas qu’il s’agit d’une AGI », écrivent-ils. Ceci étant dit, les résultats de GPT-6 n’en restent pas moins impressionnants : 62,7 % avec le harnais standard (le cadre de test commun et minimal utilisé pour évaluer tous les modèles de la même façon), et jusqu’à 99,9 % avec un harnais adapté aux spécificités du fournisseur.
Chaque point représente un niveau terminé par Astra en mode Max. Les points situés sous la ligne continue indiquent qu’Astra a utilisé moins d’actions que la référence humaine.
En mode Max, pour les niveaux résolus, Astra se montre bien plus efficace que les humains avec le harnais standard. Il utilise en effet moins d’actions que le médian humain dans 96 % des niveaux terminés, avec 51,7 % d’actions en moins par niveau en moyenne. Spectaculaire… tout comme le coût ! Jusqu’à 26 098 dollars pour le score standard à 62,7 %, et 18 817 dollars pour le 99,9 % avec le harnais « provider adapter ».
À titre de comparaison, les participants humains du test étaient rémunérés 115 dollars par session de 90 minutes, plus 5 dollars par jeu terminé, soit environ 12,78 dollars par jeu tenté avant bonus. La comparaison reste cependant imparfaite : côté humain, on rémunère surtout du temps de participation ; côté IA, on mesure une facture d’inférence.
La performance d’Astra demande donc à être nuancée (tout comme les déclarations enflammées du président d’OpenAI). Ce d’autant que les humains peuvent résoudre 100 % des environnements du benchmark, là où GPT-6 n’atteint pas 63 %. Le modèle peut se montrer plus efficace que le médian humain lorsqu’il comprend un niveau, mais il ne les comprend pas tous. Et puis ARC-AGI-3 reste très balisé, avec des mécaniques et des objectifs bien définis ne reflétant évidemment pas le monde réel. Il est cependant indéniable, au vu des résultats, que le modèle fait de gros progrès sur l’agentique.
Il y a un an, un pirate a pu accéder aux données de 524 867 patients et 202 246 tiers de confiance de l’Hôpital privé de Loire via son système de dossier patient informatisé. La CNIL a choisi de sanctionner cet établissement de soin privé car celui-ci a été particulièrement négligent : absence de VPN, de moyen d’authentification multifacteur, mais aussi mot de passe temporaire identique pour l’ensemble des praticiens après la violation de données.
C’est une sanction de 500 000 euros d’amende que la CNIL a infligée ce jeudi 3 septembre à l’Hôpital privé de la Loire, un établissement du groupe Ramsay Santé.
La CNIL n’a pas pour habitude de sanctionner fortement des structures comme les hôpitaux, elle préfère souvent les accompagner dans une démarche de meilleure sécurisation de leurs infrastructures. Mais là, il semble que les manquements de sécurité de cet hôpital aient largement dépassé les bornes de ce que l’autorité peut laisser passer sans sanction concernant la mauvaise protection de données de santé.
Dans sa délibération, la CNIL explique que cet hôpital a été victime d’une violation de données de son dossier patient informatisé (DPI) en juin 2025. L’attaquant s’est connecté au DPI via les identifiants d’un médecin libéral rattaché à la structure.
Entre le 26 juin et le 1er juillet 2025, il a « procédé à l’exfiltration de 524 867 fiches patients contenant des informations telles que l’état civil, le numéro de sécurité sociale, les coordonnées postales et électroniques et le numéro d’identifiant permanent des patients concernés ». Plus de 46 000 de ces fiches étaient aussi associées au recto de la carte d’identité et plus de 202 000 comportaient des données relatives à la personne de confiance désignée par le patient. Enfin, 43 fiches comportaient des données de santé.
Pas de VPN ni d’authentification à 2 facteurs
Dans sa décision, la CNIL souligne « que l’obligation de sécurité prévue par l’article 32 du RGPD est une obligation de moyens ». Or, sa rapporteure « reproche à l’hôpital de ne pas avoir mis en place des mesures appropriées pour sécuriser l’accès au DPI des utilisateurs externes ». En effet, au moment de la violation de données, cet accès s’effectuait grâce à un identifiant et un mot de passe mais « sans connexion préalable à un VPN, ni moyen d’identification électronique à deux facteurs ».
Un référentiel de sécurité relatif à l’identification électronique des utilisateurs des services numériques en santé existe pourtant depuis la publication d’un arrêté le 28 mars 2022. Et celui-ci demande bien expressément de mettre en place ces dispositifs pour sécuriser les connexions extérieures.
La rapporteure souligne que, justement, l’attaquant a exploité cette vulnérabilité pour accéder au dossier patient informatisé de l’hôpital et extraire les données qu’il contenait.
Pas de surveillance automatique des logs
Autre reproche : l’hôpital n’avait pris aucune mesure d’analyse automatisée des journaux d’évènements permettant de repérer des activités inhabituelles sur le DPI. En effet, si la structure hospitalière avait mis en place un centre des opérations de sécurité (SOC), un système de supervision et un système de journalisation avec enregistrement des traces applicatives, elle n’avait pas activé l’analyse automatique en temps réel des traces applicatives du DPI.
« Cette carence de surveillance a permis à l’attaquant d’effectuer un nombre extrêmement élevé de requêtes au sein du DPI de l’hôpital pendant près d’une semaine », souligne la rapporteure. La CNIL montre d’ailleurs, après analyse des logs, que l’activité de l’attaquant aurait sans doute été détectée par un système automatisé : pendant la phase d’extraction automatique mise en place par l’attaquant, son système consultait une moyenne de 73 fiches de patients par minute.
Un mot de passe temporaire pour tous
Et ce n’est pas tout. La CNIL pointe une mauvaise pratique mise en place par l’hôpital pour atténuer les effets de l’attaque. En effet, celui-ci a enclenché une procédure de réinitialisation des mots de passe. Mais celle-ci était pour le moins problématique : elle a consisté « à attribuer un mot de passe temporaire identique à l’ensemble des praticiens, qui de surcroit ne leur a pas été transmis directement, mais a été communiqué au président de la commission médicale d’établissement, à charge pour lui de le leur retransmettre ». L’hôpital a reconnu le problème mais a insisté sur le caractère d’urgence de cette mesure.
Précisons quand même que ce mot de passe temporaire n’était valable « que » pendant une semaine. Mais la CNIL rappelle que, même temporaire, les mots de passe « doivent être confidentiels et personnels à chaque utilisateur ». L’autorité remarque que l’hôpital « a au demeurant fourni à l’ensemble des utilisateurs les moyens de se connecter à des comptes de tiers, dès lors que tous avaient durant plusieurs jours le même mot de passe, et d’accéder ainsi à toutes les données à caractère personnel auxquels ces tiers pouvaient accéder ».
La rapporteure de la CNIL reproche encore à l’hôpital d’avoir laissé à la société éditrice du logiciel de gestion de son DPI un accès permanent aux données à caractère personnel des patients. Si l’hôpital a tenté de mettre en avant le besoin de cet accès pour un support rapide et efficace, l’autorité considère que l’accès permanent et sans contrôle au DPI de l’hôpital et aux données des patients « n’est pas nécessaire au regard de la mission d’assistance technique et de maintenance de la société éditrice du logiciel ». Elle ajoute même qu’au contraire, « les salariés de l’éditeur du logiciel auraient dû systématiquement solliciter l’autorisation préalable de l’hôpital » pour effectuer une opération de maintenance.
Enfin, l’hôpital se voit reprocher sa mauvaise communication envers les personnes concernées. En effet, si son effort pour contacter ses patients n’est pas remis en cause, la CNIL considère qu’il aurait dû contacter les 202 246 personnes concernées désignées comme tiers de confiance par des patients de l’hôpital.
Outre l’amende de 500 000 euros prononcée par la CNIL, l’autorité enjoint l’Hôpital privé de la Loire de mettre en conformité ses outils de sécurité et à n’ouvrir l’accès de l’éditeur du logiciel Expert Santé au DPI que sur autorisation préalable de l’hôpital sous menace de peines de jours-amende. Comme dans pareille décision de la CNIL, l’Hôpital privé de la Loire peut faire un recours devant le Conseil d’État dans un délai de deux mois.
Les États-Unis et l’industrie de l’IA tiennent leur victoire diplomatique tout autant que symbolique : les membres du G20 ont accepté à l’unanimité d’adopter un ensemble de principes, non contraignants, pour une approche allégée de la gouvernance de l’intelligence artificielle.
C’est une victoire pour la Silicon Valley, mais aussi pour l’administration Trump après l’accord obtenu à l’issue du sommet sur la technologie et l’innovation organisé par les États-Unis en Caroline du Nord. Les membres du G20 ont approuvé un ensemble de principes, dont une des principales composantes est d’éviter les législations trop lourdes contre les technologies émergentes – comprendre : l’intelligence artificielle générative.
Ne pas alourdir les réglementations IA
Le texte en question, couché sur le papier par le ministère américain du Commerce, ne ressemble pas aux habituels coups de menton d’une administration qui a pris l’habitude de brutaliser ses partenaires. Il est certes très orienté « pro-IA », notamment dans sa volonté de ne pas soumettre l’IA à un régime réglementaire spécifique, mais plutôt de s’en remettre autant que possible aux cadres juridiques sectoriels déjà existants.
Il est aussi question de « soutenir l’adoption des technologies émergentes par nos populations », ce qui est une gageure à l’heure actuelle : la construction des datacenters indispensables pour mouliner l’IA ne fait pas du tout l’unanimité aux États-Unis – en pleine campagne électorale pour les mid-terms – et ailleurs dans le monde.
« Cette technologie en est à ses débuts, et le conseil que je donnerais serait de réglementer les préjudices pratiques et réels, plutôt que les préjudices théoriques et hypothétiques », a plaidé Jensen Huang, directeur général de NVIDIA. « Chaque entreprise doit prendre sur elle de développer cette technologie de manière sûre », a-t-il encore déclaré, ce qui est un peu fort de café après les tribulations des agents IA d’OpenAI contre Hugging Face, les autres attaques du même tonneau, et le discours de la peur qui fait bien les affaires d’Anthropic.
Les risques sur les infrastructures et autres dangers que font peser les IA ont été minimisés par les principaux responsables de l’industrie IA ayant participé à ce sommet. Ces menaces ne justifient pas des réglementations strictes qui limiteraient l’accès à cette technologie, selon eux. « Dire “nous n’aurons pas d’IA dans notre pays” serait une idée à peu près aussi mauvaise que de dire “nous n’aurons pas d’électricité dans notre pays” il y a plus de cent ans », a ainsi indiqué Sam Altman, le patron d’OpenAI.
Elon Musk a lui aussi affirmé qu’une réglementation la plus légère possible était essentielle pour favoriser l’innovation. Fidèle à ses habitudes, le patron de SpaceXAI a sorti de son chapeau des chiffres au doigt mouillé, en estimant que l’IA pouvait accélérer la croissance de l’économie mondiale de 20 à 30 %. Sans surprise, il a également critiqué la position européenne sur le dossier.
Henna Virkkunen, vice-présidente de la Commission européenne chargée de la souveraineté technologique, a de son côté convenu que l’IA créait de nouvelles opportunités et que l’UE souhaitait dynamiser l’innovation. Elle a toutefois ajouté que les nouvelles menaces liées à l’IA exigeaient, dans le même temps, une coordination étroite entre les gouvernements. « Il n’est pas facile de parvenir à un accord entre autant de pays différents » sur un sujet comme l’IA, a-t-elle rappelé.
Ce texte sur l’IA n’est ni un traité, ni une réglementation, ni un accord juridique. La Maison-Blanche parle de « principes partagés » et d’une « déclaration de consensus », mais ces principes ne sont pas contraignants.
La ville de New York met en place un moratoire d’un an sur l’utilisation de l’IA générative par les élèves de ses établissements scolaires. Celui-ci entre en vigueur pour l’année scolaire 2026 - 2027 pour les classes allant de la maternelle (2-K) à la quatrième (aux États-Unis, le huitième grade).
Cette décision touchera environ 600 000 élèves dans le district scolaire (l’équivalent d’une académie en France) le plus important des États-Unis, selon CNN.
Illustration : Flock
« Les enfants ont besoin d’enseignants et de liens humains pour apprendre et s’épanouir. Ils doivent acquérir des compétences aux côtés de leurs camarades, nouer des relations avec leurs enseignants et se confronter seuls à des problèmes complexes », a affirmé Zohran Mamdani lors d’une conférence de presse à ce sujet. « Le secteur des technologies veut nous faire croire que l’éducation préscolaire basée sur l’intelligence artificielle est non seulement inévitable, mais aussi nécessaire. Nous ne partageons pas ce point de vue », a-t-il ajouté.
Rappelons qu’en France un cadre d’usage de l’IA générative existe. S’il est critiqué par certains, une chose y est claire : pas d’utilisation pédagogique de l’IA à l’école avant la quatrième.
Vivaldi 8.2 vient tout juste de paraître. À son bord, plusieurs nouvelles fonctions, dont la simplification de la calculatrice, qui peut désormais s’utiliser directement dans la barre d’adresse.
Les opérations y sont réalisées en temps réel, un appui sur Entrée envoyant les informations dans le presse-papier. Vivaldi précise que ces entrées ne sont pas enregistrées, même pas dans l’historique. Pour les personnes qui préféraient réserver cette fonction aux commandes rapides, une option permet de désactiver la calculatrice dans la barre d’adresse.
Vivaldi 8.2 renforce également la découverte des PWA (Progressive Web Apps). Le changement consiste surtout en un bouton apparaissant à droite de la barre d’adresse quand une application web compatible est découverte, par exemple WhatsApp. Après un clic sur le bouton, un petit panneau apparait pour confirmer l’installation. Une PWA profite, pour rappel, de certains comportements intégrés du système utilisé. Sur Windows par exemple, on peut l’épingler à la barre des tâches et dans le menu Démarrer. Chaque application a ses propres réglages.
Si les notes de version sont plus courtes que d’habitude, elles se finissent sur une annonce importante : Vivaldi travaille sur une version entreprise. L’éditeur dit viser « les organisations de toutes tailles – des entreprises et institutions publiques aux écoles ». Il donne peu d’informations pour l’instant, évoquant simplement une gestion de la vie privée, le déploiement centralisé et les mises à jour, ainsi que des personnalisations pour les organisations.
L’arrivée de cette version pourrait être significative pour Vivaldi. Viser le marché des entreprises implique notamment un cycle dédié de parution des mises à jour, pour pouvoir corriger les bugs et failles de sécurité, sans toucher au cycle fonctionnel. C’est ce que fait par exemple la version ESR de Firefox. Chrome et Edge disposent eux aussi d’une telle version, mais sur un délai bien plus court de huit semaines, via le canal Extended Stable.
Hugging Face déborde de modèles d’IA générative. Mais il est facile de se perdre dans les méandres de tous les modèles ouverts. La CNIL propose un outil permettant de s’y retrouver.
Si on veut utiliser un modèle d’IA générative pour un projet, le premier réflexe peut être d’aller sur Hugging Face. Mais là, difficile de s’y retrouver dans les 2 millions de modèles publiés et de savoir quels sont les dérivés des principaux connus. En effet, souvent l’idée n’est pas d’utiliser le modèle d’origine mais de trouver celui qui a été le plus adapté (par inférence, par exemple) à l’utilisation qu’on veut en faire.
Le LINC (Laboratoire d’innnovation numérique de la CNIL) a créé un outil qui permet de s’y retrouver. Appelé Genmod ou « Généalogie des modèles », il a été présenté l’année dernière par les chercheurs de l’autorité de protection des données, mais son interface était jusque-là assez récalcitrante. Un effort a été fait depuis et une nouvelle version est maintenant utilisable.
Inspecter la descendance d’un modèle
On peut, par exemple, aller inspecter la descendance du modèle Kimi K3 de Moonshot AI.
Petite précision, le moteur de recherche de l’outil est encore difficile à utiliser. Pour chercher Kimi K3, mieux vaut d’abord taper le nom du dépôt de l’entreprise éditrice moonshotai/ puis taper les premières lettres du modèle. On peut ainsi trouvermoonshotai/Kimi-K3 et afficher les « modèles importants » de sa descendance (de la même façon, pour qwen3.8, il faut taper qwen/qwen3 pour se voir proposer le modèle) :
En cliquant sur « Voir l’arbre généalogique », on obtient la liste de tous les modèles qui en découlent avec des précisions sur la méthode qui a permis la dérivation.
On peut ainsi observer que le modèle « unsloth/Kimi-K3-GGUF » est un dérivé de Kimi-K3. L’outil précise qu’il a été spécialisé pour de l’ « Image-Text-to-Text » en utilisant la quantisation (comme le précise l’outil, cette méthode réduit la précision des poids du modèle source « afin de diminuer son empreinte en mémoire »). On peut voir qu’à son tour ce modèle a été dérivé pour en donner d’autres.
On peut aussi faire une « recherche experte » qui permet de sélectionner les critères qui nous intéressent :
Retrouver les différentes utilisations d’un jeu de données
L’outil permet aussi de faire la généalogie de l’utilisation des jeux de données. En effet, les chercheurs de la CNIL ont créé Genmod avant tout pour la traçabilité. On peut donc retrouver tous les modèles qui utilisent le jeu de données The Cauldron, par exemple (de la même façon, mieux vaut connaître d’abord le nom du dépôt racine, ici « HuggingFaceM4/ »).
Dans leur article de présentation de l’outil, les chercheurs du LINC posaient en exemple cette question : « Dans le cas où les données à caractère personnelle d’un individu seraient mémorisées par un modèle, comment est-il possible d’identifier les modèles par lesquels ces données seraient également susceptibles d’être mémorisées ? ». L’idée est de pouvoir retrouver les modèles susceptibles de régurgiter les mêmes données sur lesquelles ils ont été entraînés. Rappelons que les modèles d’IA générative sont aussi soumis au RGPD.
Cela peut aussi être utile, par exemple, dans le cas d’accusations de régurgitations de contenus sous copyright, comme il est question dans le procès entre le New York Times et OpenAI.
L’Organisation européenne pour la recherche nucléaire utilise Linux pour ses besoins depuis longtemps. Dès les années 1990, le CERN s’était créé sa propre distribution en se basant sur Red Hat. En 2004, il s’était associé au Fermilab pour créer Scientific Linux (également basée sur Red Hat), avant d’entamer en 2015 une migration vers CentOS. En 2022, après l’annonce – très mal reçue – de Red Hat sur la fin de CentOS au profit de CentOS Stream, le CERN avait décidé de migrer vers AlmaLinux, autre distribution compatible Red Hat.
Le laboratoire a cependant décidé de se détourner de Red Hat, comme le rapporte Phoronix, qui a assisté à la conférence MiniDebConf, à laquelle participait le CERN. Les ingénieurs avaient bien, dans un premier temps, considéré un passage vers CentOS Stream, mais l’obligation du niveau d’instructions -march=x86-64-v2 par défaut à la compilation a été perçue par le CERN comme une forme d’« obsolescence forcée » pour le matériel ancien.
Le niveau d’instruction est un découpage artificiel permettant de cibler un lot de fonctionnalités au sein du processeur. Le niveau v2 mentionné correspond à une bascule effectuée par Red Hat Enterprise Linux 9, ce qui impliquait notamment les instructions SSE 4.2. RHEL 10 a imposé le niveau v3, qui nécessitait par exemple les instructions AVX2, FMA ou encore VEX. Ce découpage, nommé ISA (Instruction Set Architecture), a été violemment critiqué par Linus Torvalds fin 2024. Il estimait notamment la classification « stupide », car elle donnait l’impression erronée que la progression des jeux d’instruction était linéaire.
Le CERN avait, quoi qu’il en soit, pris bonne note des changements imposés par Red Hat. Lors de la conférence, le laboratoire a donc annoncé qu’une transition étant en préparation : d’ici la fin de l’année, l’intégralité du parc informatique fonctionnera sous Debian 13. Au total, 2 200 ordinateurs industriels et systèmes embarqués, utilisés pour le contrôle des accélérateurs de particules, seront concernés. En revanche, les centres de données et l’informatique expérimentale restent pour l’instant sur RHEL ou AlmaLinux.
Troisième sortie en seulement six semaines pour Google : la firme de Mountain View vient en effet de déployer la version 3.8 de son modèle Gemini Flash, la famille censée offrir le meilleur rapport entre rapidité et coût de traitement des requêtes. Cette nouvelle mouture succède aux versions 3.6 et 3.7, mises en ligne à trois semaines d’intervalle.
Gemini 3.8 Flash est présenté comme le meilleur workhorse model de Google, c’est-à-dire un modèle dédié à des tâches utilitaires. Et d’après les benchmarks publiés par l’entreprise, il tiendrait la route face à des modèles dits frontière. Elle revendique ainsi un score de 73,7 % sur le test DeepSWE, qui mesure les performances en développement logiciel avancé, contre 74 % pour Opus 5 chez Anthropic et 72,7 % chez OpenAI avec GPT-5.6 Sol.
En développement agentique (missions de code autonomes dans le terminal), Gemini 3.8 Flash se paierait même le luxe de dépasser d’un cheveu Opus 5. Google revendique également des performances en hausse sur les tâches liées à la finance, au monde du droit, à l’interprétation de documents complexes (principalement scientifiques) ou à la recherche en biologie.
Comparaison entre Gemini Flash 3.8, son prédécesseur 3.7 et plusieurs modèles concurrents – source Google
Sur les tâches complexes impliquant du raisonnement ou une subdivision, Google prévient toutefois que le gain de performances promis avec Gemini 3.8 Flash se fait au prix d’une consommation plus élevée de tokens :
« Ces gains de performance découlent d’un choix de conception fondamental : Flash 3.8 travaille davantage. Sur les tâches complexes, il fait preuve d’une plus grande rigueur, en exécutant des étapes de raisonnement supplémentaires et en appelant les outils de manière itérative. Le modèle peut parfois utiliser plus de jetons pour optimiser les performances, notamment lorsque le niveau d’effort est élevé. »
Gemini 3.8 Flash est dès à présent disponible au travers des canaux courants d’IA chez Google, en API ou au travers de l’application Gemini pour les souscripteurs d’un forfait Google AI Pro ou Ultra. Pour ces derniers, c’est également lui qui sous-tend les Aperçus IA intégrés par le moteur à ses résultats de recherche.
Google affiche une tarification agressive pour le lancement, avec 0,75 dollar par million de tokens en entrée et 3,75 dollars par million de tokens en sortie. Ce prix n’est cependant valable que jusqu’au 31 décembre, date à laquelle la facturation se fera sur une base fixée à 1,50 / 7,50 dollars par million de tokens.
Google déploie dans le même temps la variante Cyber de son nouveau modèle, dotée de capacités spécifiques au monde de la cybersécurité. L’accès à ce dernier est cependant réservé aux organisations et entreprises enregistrées dans le programme Fairwind.
WinUI est désormais un projet entièrement hébergé dans un dépôt GitHub, les ingénieurs de Microsoft y travaillant directement. Les travaux devraient donc accélérer et les prétentions de l’entreprise sont nombreuses, mais elle a souvent agacé les développeurs avec sa feuille de route incohérente.
Fin août 2026, Microsoft a achevé la dernière phase d’un plan annoncé en juillet 2025 : faire du développement de WinUI un processus véritablement public sur GitHub. Ce kit de développement, qui se focalise sur les interfaces des applications pour Windows, est considéré désormais comme pleinement open source.
Ce n’est pas un changement de licence, car le dépôt est sous licence MIT depuis décembre 2018. Le vrai changement vient du développement quotidien, qui se déroule entièrement dans le dépôt. Jusqu’à présent, ce dernier était seulement un miroir de code déjà écrit en interne. Autrement dit, le dépôt était secondaire, dans la mesure où l’éditeur ne faisait qu’y reverser ce qu’il élaborait, sans vraiment tenir compte des contributions extérieures.
Les ingénieurs de Microsoft compilent, valident et testent dorénavant leurs modifications directement dans le dépôt public, avec la traçabilité associée. On peut cependant formuler deux réserves. D’une part, les pull requests fusionnées proviennent exclusivement des développeurs Microsoft pour l’instant, a priori dans l’idée de valider complètement le pipeline de production avant de l’ouvrir aux contributions externes. D’autre part, le compilateur XAML – essentiel pour WinUI – reste fermé. Lors de la conférence Build, Microsoft a indiqué qu’elle souhaitait d’abord en moderniser le code, avant de l’ouvrir à la communauté. Aucune date n’a été donnée.
Microsoft semble sérieuse, mais…
Cette bascule s’inscrit dans un contexte plus large. Microsoft a affirmé, lors de la conférence Build 2026, un engagement fort envers WinUI comme plateforme native de Windows 11, au point d’abandonner l’appellation « WinUI 3 » pour éviter de laisser croire à une future « rupture » technologique. Depuis plusieurs mois, à travers l’initiative « K2 » pour Windows 11, Microsoft insiste largement sur les performances et les interfaces natives sur son système. L’éditeur semble décidé à utiliser ses propres technologies, notamment pour le menu Démarrer, jusqu’ici développé avec React Native.
La question du sérieux de Microsoft reste toutefois débattue dans la communauté de développeurs, qui garde un souvenir circonspect de l’historique WinRT/UWP. Des éléments plaident en faveur d’une vraie volonté, dont le respect (globalement) du calendrier fixé et la traçabilité du travail des ingénieurs sur le dépôt. Microsoft sait en outre qu’elle est attendue au tournant. Mais l’historique de l’entreprise sur les interfaces ne plaide pas en sa faveur, après avoir réinventé plusieurs fois la roue ces quinze dernières années.
… de nombreuses promesses n’ont pas été tenues
Si Microsoft renforce son propre usage de WinUI, le framework devrait rapidement évoluer. Les reproches sont tenaces, notamment des performances pas à la hauteur des prétentions « natives », mais de gros travaux sont en cours. Beaucoup reprochent également à l’éditeur son manque de suivi entre UWP, WinUI 2 et 3, avec une absence notable de parité fonctionnelle. Un écosystème souvent jugé incohérent et fragmenté.
Les tickets se sont aussi accumulés depuis deux ans et WinUI traine un certain nombre de casseroles techniques. Par exemple, un bug connu depuis longtemps provoque un plantage des applications utilisant à la fois WinUI 3 et le trimming, qui doit réduire la taille des exécutables en supprimant le code non utilisé. La faute à un conflit avec le fonctionnement de XAML, qui s’appuie lourdement sur la réflexion à l’exécution (résolution de types par nom, liaison de données, convertisseurs, gestionnaires d’événements déclarés en XAML).
Connexion
