AnxIAté

Interrogés sur les effets de l’IA sur l’emploi, la majorité des cadres craignent que celle-ci ne les remplace. Même chez les professionnels du numérique, l’inquiétude subsiste.

Les effets de l’intelligence artificielle continuent de susciter les craintes, et ce jusque chez les cadres du numérique. Parmi ces derniers, si 88 % voient dans l’IA le moteur d’une révolution, près d’un sur cinq (17 %) estiment que l’accompagnement de leurs entreprises est insuffisant. Plus largement, au sein de la population française, 61 % des cadres craignent d’être remplacés par l’IA.

Tels sont quelques-uns des constats dressés par un sondage d’Odoxa pour l’Observatoire des nouveaux usages de Saegus. Mené auprès d’un échantillon de 1005 Français représentatifs de la population française majeure, et 101 professionnels de l’industrie numérique, ce dernier relève tout de même que la moitié des salariés, près de deux tiers des cadres (63 %) et 73 % des spécialistes du numérique se déclarent à l’aise avec les outils d’IA.

• Entre la chaise et le clavier #3 : Ce que l’IA fait au travail avec Juan Sebastian Carbonell

Des Français convaincus d’une destruction d’emplois

Pour l’immense majorité des sondés (plus des deux tiers de chaque tranche d’âge, près des trois quarts de la population selon sa profession), c’est certain : le déploiement de l’IA va se traduire par davantage de destruction d’emplois que de création. Dans le lot, les spécialistes du numérique sont un peu plus optimistes que les autres : 30 % d’entre eux envisagent que plus d’emplois ne soient créés, à termes, que détruits.

En fonction de l’âge, ce sont les plus âgés (65 ans et +) les plus inquiets. 86 % estiment en effet que l’IA détruira plus d’emplois qu’elle n’en créera. Même dans la génération qui entre actuellement sur le marché du travail, cela dit, plus des deux tiers des répondants s’alignent sur cette idée.

Le rapport s’inverse quelque peu lorsqu’on se penche sur ce que les travailleurs envisagent en termes de tâches. Pour 67 % des professionnels du numérique, en effet, l’IA remplacera « une partie » de leurs tâches, et pour 5 % d’entre eux, « l’intégralité de [leur] métier ». À l’inverse, dans la population générale, seulement 35 % des interrogés estiment que l’IA remplacera « une partie de [leurs] tâches » et 10 % qu’elle remplacera « l’intégralité de [leur] métier ».

• Après 3 ans d’IA générative, un marché de l’emploi des développeurs touché mais pas coulé

Réduction du temps de travail et dépendance

Interrogé sur les effets du déploiement de ces technologies dans leur vie professionnelle, la grande majorité des professionnels du numérique (85 %) et 72 % des salariés en général estiment que celle-ci créera une dépendance de l’IA au travail. Pour la moitié des salariés, ce n’est pas forcément négatif : cela pourrait permettre une réduction du temps de travail (une perspective envisagée par 44 % des professionnels de la tech).

38 % des salariés pris en général et 49 % de ceux de la tech estiment que cela permettra de « consacrer davantage de temps aux relations avec leurs collègues », et 36 % des salariés (49 % dans la tech) que cela rendre leur travail « plus intéressant ». Travailler dans les technologies donne un sentiment nettement plus important de confort dans l’interaction avec l’IA.

Malgré tout, la demande d’accompagnement est forte, quelle que soit la spécialité. Pour 82 % des professionnels du numérique et 78 % des salariés pris en général, les entreprises françaises ne forment pas suffisamment leurs employés à l’IA. En même temps, le sentiment de retard est relativement fort : seulement 34 % des employés du numérique et 42 % des salariés au sens large estiment que les entreprises hexagonales « s’adaptent rapidement et intègrent suffisamment cette technologie ».

• Les effets de l’IA sur l’emploi sont exagérés par les entreprises, selon Oxford Economics

Courage, fuyons !

L’entreprise derrière le gestionnaire de mots de passe a discrètement changé d’équipe dirigeante en début d’année. Depuis, certains termes ont disparu du site web de promotion de la solution open source, comme « inclusion » et « transparence » et même, temporairement, l’engagement de proposer une offre « toujours gratuite ».

Depuis le début de l’année, Bitwarden a fait quelques discrets changements dans son équipe dirigeante et sur son site web. Celles-ci inquiètent certains utilisateurs quant à la direction que prend le projet de gestionnaire de mots de passe open source : depuis 2021, il se démarquait de la concurrence en restant le dernier service d’ampleur à fournir gratuitement la synchronisation fixe/mobile.

• BitWarden : un gestionnaire de mots de passe qui se démarque de la concurrence

Changement discret d’équipe de direction

En effet, comme l’a repéré Fast Company vendredi 15 mai, l’ancien CEO, Michael Crandell, a laissé la place à Michael Sullivan mais le changement n’avait été annoncé publiquement que par le changement de statut de leurs deux comptes LinkedIn. Ainsi, Michael Crandell est passé à un rôle de simple « conseiller » pendant que Michael Sullivan est arrivé en tant que CEO en février dernier après avoir quitté le même poste chez insightsoftware, explique-t-il sur son profil LinkedIn. Il y ajoute qu’il « possède une solide expérience dans tous les aspects des fusions et acquisitions, notamment une expérience directe auprès de grandes sociétés de capital-investissement ».

Sur LinkedIn aussi, le responsable financier de l’entreprise depuis 2019, Stephen Morrison, indique avoir quitté ses fonctions en avril dernier. Il est remplacé par Michael Shenkman.

Kyle Spearrin, qui a créé le projet, reste CTO depuis 2016. Mais la stabilité du fondateur ne semble pas s’accompagner de celles des valeurs mises en avant par le projet. Ainsi, plusieurs pages du site web du projet ont été modifiées.

Notamment, la mention du « always free » (en français, « toujours gratuit ») accompagnant la présentation de l’offre pour une utilisation « personnelle » gratuite a été, un temps, supprimée.

Suite à la publication de l’article de nos confrères, cette mention est réapparue. Sur le subreddit consacré à Bitwarden, un employé de l’entreprise affirme que celle-ci a été réintégrée et que c’était « un simple oubli de la part de l’équipe marketing ». L’entreprise a affirmé à Fast Company qu’elle « restait déterminée à proposer une offre gratuite solide qui apporte une réelle valeur ajoutée aux particuliers ».

Une notion fluide du courage

Mais d’autres changements ont été apportés au site du projet. Ainsi, la page « carrière » affichait jusque-là des valeurs de « Gratitude, responsabilité, inclusion et transparence » rassemblées sous l’acronyme GRIT (qui veut aussi dire « courage » en anglais).

Mais ce GRIT a été transformé récemment en un moins courageux « Gratitude, responsabilité, innovation et confiance ».

Là aussi, la page a encore été modifiée pour remettre le terme de transparence dans la définition de la confiance et celui d’« environnement inclusif » dans celle de la « gratitude ».

Juste avant le changement de direction, l’entreprise avait discrètement annoncé dans un billet de blog l’augmentation de ses tarifs premium. Ceux-ci sont passés à 19,80 dollars par an, alors qu’ils étaient encore à 10 dollars par an en début d’année.

Vaultwarden comme alternative ?

Toutes ces modifications inquiètent quant à la direction du projet. Ainsi, certains expliquent avoir déjà migré vers la solution Vaultwarden qui permet d’auto-héberger son gestionnaire de mots de passe et encouragent à le faire tant que « les clients Bitwarden sont open source et l’API du serveur est publique ».

• [Tuto] Auto-héberger son gestionnaire de mots de passe avec Vaultwarden (Bitwarden)

Rappelons que Vaultwarden est compatible avec Bitwarden et peut donc accueillir directement les données qui y ont été stockées. Ajoutons aussi que le projet n’est « pas associé à Bitwarden » ou à l’entreprise, même si, selon la page GitHub, « l’un des mainteneurs actifs de Vaultwarden est employé par Bitwarden et est autorisé à contribuer au projet sur son temps libre. Ces contributions sont indépendantes de Bitwarden et examinées par d’autres mainteneurs ». Enfin, comme nous le disions, si Bitwarden est régulièrement audité, ce n’est pas le cas du projet Vaultwarden.

Suite à ces réactions, Mike Sullivan a, pour la première fois, pris la parole sur le blog de l’entreprise en tant que CEO. Il y assure que « l’open source est le fondement de tout ce que Bitwarden développe. La possibilité de vérifier le code, d’héberger soi-même ses données et de s’assurer de leur authenticité plutôt que de se contenter de croire en elles ne sont pas de simples atouts supplémentaires : ce sont les raisons pour lesquelles Bitwarden se distingue de toutes les autres solutions du secteur, et cela ne changera pas ». Il ajoute que l’engagement d’avoir une version gratuite de Bitwarden est « permanent ». Son billet ne revient par contre pas sur les notions de « transparence » et d’ « inclusivité » qui ne sont pas mentionnées.

Meta a annoncé ce 18 mai la réassignation de 7 000 de ses employés pour les focaliser sur le développement de l’intelligence artificielle, rapporte le New York Times.

Ils seront répartis dans quatre nouveaux groupes internes dédiés à la création d’outils et d’applications appuyés sur l’IA. 
Cette évolution a été annoncée en amont du licenciement d’environ 10 % des effectifs de l’entreprise.

D’après le mémo envoyé aux équipes par la directrice des ressources humaines Jannelle Gale, ces organisations auront moins de management que les autres services de Meta, elles utiliseront des structures « AI natives », et rendront le groupe « plus productif ».

8 000 des 78 000 personnes qui œuvrent quotidiennement au fonctionnement de Facebook, Instagram et WhatsApp seront en effet remerciées à partir du 20 mai.

Comme les derniers plans de licenciements annoncés chez Meta et dans d’autres sociétés, ces évolutions-ci sont justifiées par les investissements que la société de Mark Zuckerberg oriente vers l’IA. 
Microsoft, Block et Coinbase ont par exemple annoncé des réorganisations similaires.

Si tous ne peuvent pas être directement liés aux stratégies relatives à l’intelligence artificielle, l’initiative layoffs.fyi a relevé plus de 110 000 postes supprimés dans l’industrie de la tech depuis le début de l’année 2026.

Lors de plusieurs remises de diplômes, des dirigeants de la tech ou de l’industrie ont été hués après avoir décrit le développement de l’intelligence artificielle comme « prochaine révolution industrielle ». De nouveaux symptômes d’un rejet de ces technologies, plus marqué au sein de la génération Z.

La vidéo est devenue virale : début mai, lors d’une cérémonie de remise des diplômes, la vice-présidente des alliances stratégiques du groupe Tavistock, Gloria Caulfield, a décrit l’intelligence artificielle comme la « prochaine révolution industrielle ». Face à ce discours, les néodiplômés en sciences humaines de l’Université du Centre de la Floride (UCF) et de l’école Nicholson de la communication et des médias l’ont huée.

La rumeur s’est maintenue, parfois ponctuée d’affirmations selon lesquelles « l’IA, c’est naze » (AI sucks), jusqu’à ce qu’elle rappelle que « jusqu’à il y a quelques années, l’IA n’était pas un facteur dans nos vies ». À ces mots, les étudiants l’ont applaudie. Il y a quelques jours, ç’a été au tour d’Eric Schmidt, ex-PDG de Google, d’être hué lors d’un discours donné pour la cérémonie des diplômes de l’Université d’Arizona.

Côté français, ce 19 mai, c’est le cofondateur du média Loopsider, Johan Hufnagel, qui témoigne par l’intermédiaire de son collègue et auteur de la newsletter Hupster David Carzon du refus d’étudiants en journalisme de recourir à l’intelligence artificielle. Qu’elles soient portées par la génération Z ou par d’autres, ces prises de position viennent remettre une pièce dans la machine de la difficile acceptabilité sociale du déploiement accéléré de l’IA.

• Qui sont les jeunes « végans de l’IA », qui refusent de s’en servir ?

La génération Z aux avant-postes

Invité par l’université d’Arizona pour sa « contribution générale et son leadership extraordinaire dans les avancées technologiques, scientifiques et l’innovation », Eric Schmidt a comparé la montée des ordinateurs, alors que lui-même était étudiant, avec celle de l’IA aujourd’hui. Hué, il a continué en admettant : « Il y a une peur dans votre génération, selon laquelle le futur serait déjà écrit, selon laquelle les machines arrivent, les emplois s’évaporent, le climat se désagrège, la politique est fracturée. Vous héritez de ce bazar que vous n’avez pas créé, et je comprends cette peur ».

Et d’affirmer que le futur n’était pas écrit, et que la génération diplômée en 2026 avait de réelles possibilités d’influencer la manière dont l’IA se développe. De nouveau hué sur ce dernier point, Schmidt a ensuite insisté sur le besoin de « choisir une variété de perspectives », en y faisant un parallèle étonnant avec celle « de l’immigrant, qui a si souvent été la personne qui est venue dans ce pays et l’a rendu meilleur ».

Ce cas n’est qu’un exemple parmi une série plus large de protestations ouvertes contre le déploiement de l’IA. En la matière, la génération Z se place souvent aux avant-postes, inquiète, dans plusieurs secteurs, de voir ses opportunités d’emploi disparaître alors même qu’elle entre sur le marché du travail. En avril, un sondage de l’institut Gallup constatait que près d’un tiers des répondants états-uniens de 14 à 29 ans affirmaient que l’IA les « énerve », soit 9 points de plus que les 22 % qui avaient répondu de cette manière l’année précédente. En 2026, 22% des interrogés se sont déclarés enthousiasmés par la technologie, contre 36 % l’année précédente.

Mené auprès de 1 200 « travailleurs de la connaissance » (c’est-à-dire, ici, des employés de bureau) et 1 200 dirigeants d’entreprises en Europe, au Royaume-Uni et aux États-Unis, un autre sondage réalisé par Workplace Intelligent constate que 29 % des employés admettent saboter les systèmes d’IA déployés par leurs sociétés en entrant des informations propriétaires dans des modèles grand public, en utilisant des outils d’IA non autorisés, ou en utilisant à dessein des résultats d’IA de faible qualité dans leur travail, sans les corriger. Au sein de la génération Z, cette proportion grimpe à 44 % des répondants. Et parmi les raisons avancées pour expliquer ces comportements, 30 % citent la peur de l’automatisation par l’IA, 28 % indiquent que leur IA d’entreprise présente « trop de problèmes de sécurité » et 20 % se déclarent agacés par le surplus de travail que leur a ajouté le recours à l’IA.

Une grogne qui s’étend

Si les usages sont nettement différents – 28 % des employés déclarent recourir à l’IA plus de deux heures par jour, alors que 64 % des cadres affirment le faire –, les dirigeants interrogés ne semblent pas tellement mieux lotis que leurs employés. 72 % déclarent en effet que la stratégie de leur entreprise en matière d’IA leur crée du stress ou de l’anxiété. Parmi eux, 32 % qualifient même ce stress d’élevé, voire « handicapant ».

Si ces positions n’en sont pas encore à critiquer ouvertement le déploiement de l’IA, d’autres acteurs de la société l’ont déjà fait, que ce soit lors de la diffusion d’une publicité pro-IA lors de l’édition 2024 du festival SXSW, ou encore lors de la promotion du film Frankenstein, pendant laquelle le réalisateur Guillermo del Toro s’était fendu d’un « Fuck AI » qui se passe de commentaire.

Politiquement, les États-Unis sont à la fois devenus le « développeur le plus avancé de l’IA et son premier hater », écrit the Atlantic. Le média note d’ailleurs que l’un des seuls points sur lesquels l’ex-conseiller de Trump, Steve Bannon, et le sénateur démocrate Bernie Sanders s’accordent est le constat selon lequel l’IA est un « désastre » pour les travailleurs. Localement, cette réunion transpartisane a commencé à s’incarner dans certains combats contre l’infrastructure qui permet aux modèles de tourner. Dans le Michigan, c’est par exemple une alliance entre groupes MAGA (Make America Great Again) et Socialistes démocrates qui s’opposent à la construction d’une dizaine de nouveaux centres de données.

• Bernie Sanders veut que l’IA permette de passer aux 32 heures

Le risque est qu’à terme ces protestations prennent un tour violent. Il est réel : en avril, la maison de Sam Altman était attaquée par deux fois en un week-end, une première fois via un lancer de cocktail Molotov, une seconde avec des tirs sur la façade. L’auteur du lancer de cocktail molotov, Daniel Alejandro Moreno-Gama, avait lui-même évoqué dans ses écrits la possibilité de « faire une Luigi à certains PDG de la tech », en référence à Luigi Mangione, qui doit être jugé pour l’assassinat du directeur exécutif de UnitedHealthcare. De la même manière que l’assassinat avait provoqué des célébrations numériques, en ligne, les attaques contre le domicile d’Altman ont été abondamment saluées.

En réaction, le patron d’entreprise s’était fendu d’un billet de blog méditant sur l’intérêt du développement de l’IA et sur le rôle que lui-même y joue. Mais de même que Gloria Caufield ou Eric Schmidt devant des jeunes tout juste diplômés, le patron d’OpenAI donnait peu de pistes de réponses aux multiples questions qui peuvent expliquer l’amplification croissante de l’opposition à l’IA, que celles-ci concernent les réductions d’effectifs justifiées par l’IA, les impacts environnementaux de ces technologies et du reste de l’industrie qui lui a permis d’émerger, ou encore leur usage dans les conflits en cours. Il serait temps de s’en préoccuper, pourtant : selon certains sondages, la population états-unienne en est désormais à préférer les Services de l’immigration et des douanes (ICE), malgré ses actions violentes des derniers mois, au domaine de l’IA.

• Après 3 ans d’IA générative, un marché de l’emploi des développeurs touché mais pas coulé

Trop tard ?

Dans son rapport annuel, l’autorité française de protection des données constate un record de fuites de données en 2025 : 6 167 signalements lui ont été faits, une augmentation de 9,5 % en un an. La CNIL promet d’augmenter ses contrôles sur les manquements en matière de cybersécurité.

On pouvait s’en douter avec les multiples fuites de données évoquées ces derniers temps, mais la CNIL le confirme dans son rapport annuel : « la CNIL s’est vue en définitive notifiée de 6 167 violations en 2025, ce qui représente tout de même une hausse de 9,5 % par rapport à 2024 ». Pour 2024, l’autorité signalait l’année dernière avoir reçu 5 629 notifications de violation de données personnelles.

En mars dernier, le patron de l’ANSSI faisait déjà le constat que les « niveaux de menaces sont très significatifs » mais il ajoutait : « on n’est pas sur une explosion ou un raz-de-marée en 2025 ».

Encore une année record

« L’année 2024 établissait un record. Il a malheureusement été dépassé en 2025 avec presque 10 % de notifications supplémentaires », indique l’autorité de protection des données qui a publié ce rapport ce lundi 18 mai. Elle souligne observer trois tendances sur ces signalements de violations de données.

Ainsi, et « comme les années précédentes, le piratage continue d’être la nature d’incident la plus fréquemment déclarée ». La CNIL évoque notamment le vol de données depuis un compte utilisateur légitime, l’utilisation de rançongiciel, le phishing ou encore le credential stuffing (utilisation de bases de données de couples identifiant/mot de passe volées pour tester s’ils ont été utilisés ailleurs). Il atteint 50 % des signalements en 2025. Mais la fuite peut se faire aussi sans intention néfaste, ainsi 13 % des signalements concernent l’envoi de données personnelles à un mauvais destinataire, 7 % le vol ou la perte de matériel et de données et encore 7 % la publication non intentionnelle d’informations.

La deuxième tendance évoquée par la CNIL dans son rapport est le ciblage de certaines attaques. Sans nommer la solution en question, l’autorité explique notamment que « 2025 a notamment été marquée par une série de vols de données visant les entreprises clientes d’un éditeur de solution de CRM ». Elle ajoute qu’une série d’attaques a ciblé les fédérations sportives françaises.

• Tennis, spéléologie : nouvelles fuites de données chez les fédérations sportives

Enfin, elle signale l’augmentation des violations de données susceptibles de concerner plus d’un million de personnes : « il y en a eu une quarantaine en 2025 (une trentaine en 2024) ». Dans les chiffres du rapport de la CNIL, le secteur de l’administration publique se distingue : il représente 19 % des violations de données signalées à l’autorité. Rappelons, par exemple, la fuite de données concernant 1,6 million de comptes en décembre 2025, alors que l’agence avait déjà subi une fuite portant sur près de 37 millions de Français en 2024 qui lui a valu une amende de 5 millions d’euros.

En 2026, 50 % de ses contrôles et actions répressives de la CNIL aux manquements en matière de cybersécurité

Au Monde, la présidente de la CNIL, Marie-Laure Denis, affirme qu’une des conséquences des fuites de données collectées par l’administration publique est « l’altération du lien de confiance entre l’État et les citoyens, car l’État a une responsabilité particulière à l’égard des données des Français ».

En réaction à cette augmentation des signalements, l’autorité annonce augmenter, cette année, les contrôles sur la sécurité des données. « La CNIL consacrera 50 % de ses contrôles et actions répressives aux manquements en matière de cybersécurité », explique-t-elle dans son communiqué. La présidente de la CNIL indique à nos confrères du Monde qu’en 2025, « c’était entre un quart et un tiers ».

Elle indique, dans le rapport, qu’après avoir publié sa recommandation sur l’authentification multifacteur en mars 2025 [PDF], avoir « fortement incité les organismes gérant de grandes bases de données » à la mettre en place et leur avoir laissé un temps d’adaptation,« des contrôles seront réalisés tout au long de l’année 2026 ».

Répercussion budgétaire mécanique

Mais cet effort sur le contrôle de la sécurisation des données se répercutera mécaniquement sur les autres missions de l’autorité. Dans son rapport, la CNIL souligne encore qu’elle évolue dans « un contexte budgétaire contraint ». Elle y ajoute d’ailleurs qu’ « en 2026, la CNIL n’a obtenu aucune création de postes malgré ses besoins induits par un accroissement de sa charge sur les missions historiques et l’ajout de nouvelles compétences liées à plusieurs règlements européens, notamment en matière d’intelligence artificielle ».

Rappelons que ce n’est pas l’autorité qui perçoit le montant des amendes, il est versé au budget général de l’État. Récemment, le gouvernement a évoqué l’idée de les allouer à un nouveau fonds dédié à la modernisation des infrastructures numériques dans une logique assumée de « pollueur-payeur ».

Concernant les autres sujets, justement, la CNIL constate encore une hausse des plaintes qu’elle a reçues globalement. Ainsi, alors qu’« un record avait été établi en 2024, avec 17 772 plaintes reçues par la CNIL, en hausse de plus de 8 % par rapport à l’année précédente », l’autorité souligne qu’il a été battu en 2025 avec une augmentation « de plus de 10 % » avec un total de 20 150.

Dans son rapport, la CNIL souligne être intervenue « auprès de nombreux organismes pour leur rappeler la réglementation applicable concernant le recours à des dispositifs de télésurveillance d’épreuves d’examen et de vidéoprotection ».

Ainsi, elle évoque l’exemple de « plaintes relatives au projet envisagé par une université [sans la nommer dans le rapport] de procéder à des enregistrements vidéo et sonores des étudiants pendant des épreuves d’examen à distance ». Finalement, la présidente de la CNIL a « adressé un avertissement à l’université l’invitant à « revoir sa copie » avant la mise en place effective de ce projet, notamment sur l’impératif de réaliser une analyse d’impact, sur les risques du dispositif, et sur l’obligation de fournir une information précise aux personnes concernées ». Elle évoque aussi avoir rappelé à « plusieurs communes que les systèmes de vidéoprotection doivent être mis en œuvre conformément au code de la sécurité intérieure (CSI) et au RGPD ».

Dans son rapport, la CNIL rappelle aussi que « le FICOBA ne dépend plus de l’exercice des droits indirects géré par la CNIL », ce mécanisme qui permet d’« accéder aux informations vous concernant enregistrées dans certains fichiers publics ». Le Fichier des comptes bancaires « notamment utilisé par l’administration en cas de contrôle fiscal, est désormais en accès direct », explique l’autorité, « la démarche peut désormais s’effectuer depuis le site www.impots.gouv.fr. Ce changement de cadre permet une réaffectation des ressources pour les demandes relatives à d’autres fichiers.» En effet, la CNIL explique qu’elle a clôturé, en 2025, 32 262 dossiers d’exercice des droits indirects « dont 27 492 concernaient des demandes d’accès au Fichier national des comptes bancaires et assimilés (FICOBA) qui relevait de la CNIL jusqu’au 6 janvier 2025. »

L’autorité rappelle aussi dans son rapport le bilan qu’elle avait déjà fait en début d’année sur les 487 millions d’euros d’amende infligés en 2025, avec notamment celles contre Google et Shein qui totalisent à elles seules 475 millions.

Is BitLocker the new TrueCrypt ?

Un chercheur indépendant a publié la preuve de concept d’une faille qui permet de lire le contenu d’un disque dur chiffré avec BitLocker à partir d’une simple clé USB. La vulnérabilité semble exploiter la façon dont l’environnement de récupération Windows lit les journaux de transaction NTFS d’un volume externe. L’auteur de la découverte y voit une démarche intentionnelle.

Baptisée YellowKey par son auteur, la faille est à la fois simple à mettre en oeuvre, puisqu’il suffit de disposer d’une clé USB piégée et d’un accès physique à la machine, et particulièrement problématique, puisqu’elle compromet BitLocker, le dispositif de chiffrement censé garantir la confidentialité des informations stockées sur les périphériques de stockage d’un environnement Windows.

Une faille présentée comme une porte dérobée

Mise en ligne le 12 mai dernier sur GitHub, la preuve de concept prend la forme d’un dossier « FsTx » à copier sur une clé USB. L’attaquant doit ensuite se tourner vers une machine Windows chiffrée via BitLocker, brancher la clé USB, puis démarrer en déclenchant l’environnement de récupération (WinRE). « Si vous avez tout fait correctement, un shell s’ouvrira avec un accès illimité au volume protégé par BitLocker », affirme l’auteur, qui se fait appeler Nightmare-Eclipse.

Via cette fenêtre en ligne de commandes (cmd.exe), le contenu du disque devient donc accessible sans qu’il ait été nécessaire d’entrer la clé de récupération BitLocker habituellement exigée au cours du processus. Plusieurs chercheurs en sécurité, dont Will Dormann et Kevin Beaumont, indiquent avoir réussi à reproduire la manœuvre. Ils confirment donc l’existence de la faille, même s’ils en relativisent certains aspects.

« Je viens de faire un petit test rapide et oui, ça fonctionne. En gros, BitLocker possède une porte dérobée », résume notamment Kevin Beaumont sur Mastodon. Nightmare-Eclipse souscrit aussi à l’hypothèse de la porte dérobée (backdoor) dans le Readme de sa preuve de concept :

« Pourquoi dirais-je qu’il s’agit d’une porte dérobée ? Le composant responsable de ce bug est introuvable (même sur Internet) sauf dans l’image WinRE. Ce qui est troublant, c’est que ce même composant, portant le même nom, est également présent dans une installation Windows normale, mais sans les fonctionnalités qui permettent de contourner BitLocker. Pourquoi ? Je ne vois aucune autre explication que celle d’une intention délibérée. »

L’actualité récente a sans doute de quoi étayer les théories du complot : l’information selon laquelle Microsoft pouvait transmettre aux autorités des clés BitLocker en réponse à une ordonnance judiciaire quand ces dernières étaient stockées sur ses serveurs a par exemple refait surface en début d’année. Ici, la faille ne fonctionne que si les clés sont stockées localement, au niveau de la puce TPM (Trusted Platform Module). Cette porte dérobée serait-elle donc la solution trouvée par Microsoft pour circonvenir les utilisateurs qui ne font pas confiance au cloud ? Rien à ce stade ne permet de l’affirmer.

L’histoire de BitLocker, développé depuis 2004 et introduit deux ans plus tard avec Windows Vista, a révélé de nombreuses vulnérabilités au fil des années, dont un contournement présenté début 2025 et réalisé, là aussi, à partir d’une clé USB, même si la charge se révélait alors plus complexe que la preuve de concept YellowKey.

La sécurité de Windows entachée de plusieurs failles zero-day

Pour Will Dormann, la vulnérabilité pourrait être liée au mode transactionnel de NTFS, et à la façon dont ce dernier permet à un répertoire situé sur un support externe de modifier le contenu d’un autre volume lors de sa lecture.

Si son analyse se vérifiait, la faille ne signifierait pas nécessairement que le chiffrement dans le couple BitLocker / TPM est intrinsèquement défaillant, mais plutôt que Windows recèle un défaut compromettant l’intégrité de sa mise en œuvre. « Ce processus garantit (modulo les failles du TPM) que le disque ne sera déchiffrable que sur l’ordinateur d’origine exécutant le système d’exploitation d’origine. Il ne garantit cependant pas que ce dernier n’accordera pas ultérieurement un accès root à quiconque saisirait un « cheat code », ce qui est précisément le cas ici », estime un lecteur de Hackernews.

Sur un blog sous pseudonyme, l’auteur de la découverte corrobore que la direction est bonne sans entrer plus précisément dans les détails techniques. Il affirme aussi disposer d’une autre preuve de concept qui serait susceptible d’invalider les méthodes de protection évoquées par Dormann ou Beaumont dans leurs analyses, notamment le fait d’associer le chiffrement BitLocker à un code PIN.

Il témoigne par ailleurs d’un ressentiment certain à l’égard de Microsoft. D’après la description qu’il en fait dans son premier message public, ce ressentiment semble lié à la façon dont les équipes de l’éditeur ont réagi lors de la gestion d’une précédente faille de sécurité découverte par ses soins en avril dernier. Baptisée Bluehammer et elle aussi partagée sur GitHub, elle ciblait Windows Defender et permettait une élévation de privilèges sous Windows. « Microsoft a choisi d’aggraver la situation au lieu de la régler comme des adultes. Ils ont eu recours à toutes les manœuvres puériles possibles. Ma patience a des limites et vous faites payer tout le monde », écrit notamment Nightmare-Eclipse, qui promet par ailleurs disposer de munitions supplémentaires dans sa vendetta contre l’éditeur.

La publication de YellowKey s’est d’ailleurs accompagnée de celle d’un autre exploit, GreenPlasma, puis de la découverte fortuite de MiniPlasma, une zero-day d’autant plus embarrassante qu’elle reprend les termes d’une vulnérabilité mise au jour en 2020 par James Forshaw du Google Project Zero (qui pour l’anecdote s’était déjà illustré dans la découverte des vulnérabilités de TrueCrypt il y a dix ans). « Après enquête, il s’avère que le même problème signalé à Microsoft par Google Project Zero est toujours présent, et non corrigé », affirme Nightmare-Eclipse.

Microsoft, qui vient de livrer sa traditionnelle fournée mensuelle de correctifs de sécurité à l’occasion du patch tuesday, n’a pour l’instant pas réagi publiquement à ces failles.

Anthropic a indiqué lundi avoir fait l’acquisition de Stainless, dont les logiciels sont utilisés par la plupart des grands acteurs états-uniens de l’intelligence artificielle, dont OpenAI et Google.

Si le montant exact de la transaction n’a pas été divulgué, The Information suggérait la semaine dernière que la société envisageait une opération de plus de 300 millions de dollars, avec le soutien des fonds de capital risque Sequoia Capital et Andreessen Horowitz.

Fondée en 2022 par l’ancien ingénieur de Stripe Alex Rattray, Stainless est devenu un élément essentiel de la chaîne de production de systèmes d’IA avec ses kits de développement logiciels (SDK).

En l’espèce, Alex Rattray a développé un logiciel capable de récupérer les spécifications d’une interface de programme d’application (API) pour en faire des SDK prêts à l’emploi dans une variété de langages informatiques (Python, TypeScript, Kotlin, Go, Java…). 
L’outil est devenu populaire chez une série de sociétés qui construisent de nombreux agents d’IA : les technologies de Stainless leur permettent en effet de se connecter facilement et automatiquement à toutes sortes de services.

Or Anthropic a déclaré à TechCrunch prévoir de cesser les activités de tous les produits hébergés de Stainless, à commencer par leur générateur de SDK. Les clients historiques de la start-up pourront conserver les SDK déjà générés et disposer de tous les droits de modification et d’extension nécessaires à la continuité de leur usage, mais de fait, Anthropic prive sa concurrence d’un outil actuellement largement utilisé.

Sony a annoncé lundi une hausse de prix imminente pour les versions 1 mois et 3 mois de l’abonnement PlayStation Plus. Mise en œuvre à partir du 20 mai, la hausse épargne temporairement les joueurs déjà abonnés : elle ne concerne que les nouveaux souscripteurs, sauf en Inde et en Turquie, « à moins que l’abonnement existant ne soit modifié ou ne prenne fin ».

Décidée « en raison des conditions actuelles du marché », sans plus de précisions, la hausse fait passer l’abonnement PlayStation Plus 1 mois de 8,99 à 9,99 euros (+ 11,12 %), tandis que l’abonnement 3 mois prend trois euros et passe donc de 24,99 à 27,99 euros (+ 12 %).

Signalée par l’intermédiaire d’un message sur X, la hausse ne semble pas concerner à ce stade la formule 12 mois, facturée 71,99 euros. Cela laisse supposer une volonté d’entraîner les joueurs vers la formule de longue durée, qui garantit un revenu immédiat plus important, même si elle diminue le chiffre d’affaires potentiel sur la durée en cas de rétention.

Rappelons que Sony a augmenté fin mars de 100 euros le prix des différentes versions de la PS5, là encore au nom des conditions de marché.