En avril 2025, Notion lançait la première version de sa nouvelle application : Notion Mail. Initialement compatible avec Gmail, sa valeur ajoutée devait résider dans l’utilisation de l’IA et l’organisation automatique, grâce à son expérience acquise dans son application de prise de notes.
Las ! L’entreprise jette l’éponge. Dans un tweet publié le 25 juin, elle annonce qu’elle mettra fin à toutes les variantes le 22 septembre : la version web, l’application desktop et celle pour iOS.
« À mesure que les agents Notion sont devenus plus performants, nous avons vu de plus en plus d’utilisateurs leur confier leurs flux de travail par e-mail. Aujourd’hui, plus de la moitié des utilisateurs de Notion Mail gèrent leurs e-mails sans jamais ouvrir leur boîte de réception. Nous misons donc tout sur l’utilisation des agents pour gérer votre boîte de réception », affirme Notion.
L’éditeur se dit « reconnaissant » envers les personnes qui ont construit leur « routine autour de Notion Mail » et qui lui ont fait confiance pour « quelque chose d’aussi important que […] e-mails ».
Côté marche à suivre, les courriers en eux-mêmes ne bougeront pas, puisque ce sont ceux de Gmail, avec lequel l’application se synchronise. En revanche, les brouillons et les e-mails programmés seront supprimés. Notion recommande donc de les sauvegarder avant le 21 septembre.
D’autres en profitent déjà, comme Spark Email, qui vient tout juste de publier sur X un message d’accueil pour les éventuels transfuges, rappelant que son client (payant, à partir de 8,25 euros par mois) est compatible avec Gmail, Outlook et iCloud (en plus des comptes classiques).
En avril 2025, Notion lançait la première version de sa nouvelle application : Notion Mail. Initialement compatible avec Gmail, sa valeur ajoutée devait résider dans l’utilisation de l’IA et l’organisation automatique, grâce à son expérience acquise dans son application de prise de notes.
Las ! L’entreprise jette l’éponge. Dans un tweet publié le 25 juin, elle annonce qu’elle mettra fin à toutes les variantes le 22 septembre : la version web, l’application desktop et celle pour iOS.
« À mesure que les agents Notion sont devenus plus performants, nous avons vu de plus en plus d’utilisateurs leur confier leurs flux de travail par e-mail. Aujourd’hui, plus de la moitié des utilisateurs de Notion Mail gèrent leurs e-mails sans jamais ouvrir leur boîte de réception. Nous misons donc tout sur l’utilisation des agents pour gérer votre boîte de réception », affirme Notion.
L’éditeur se dit « reconnaissant » envers les personnes qui ont construit leur « routine autour de Notion Mail » et qui lui ont fait confiance pour « quelque chose d’aussi important que […] e-mails ».
Côté marche à suivre, les courriers en eux-mêmes ne bougeront pas, puisque ce sont ceux de Gmail, avec lequel l’application se synchronise. En revanche, les brouillons et les e-mails programmés seront supprimés. Notion recommande donc de les sauvegarder avant le 21 septembre.
D’autres en profitent déjà, comme Spark Email, qui vient tout juste de publier sur X un message d’accueil pour les éventuels transfuges, rappelant que son client (payant, à partir de 8,25 euros par mois) est compatible avec Gmail, Outlook et iCloud (en plus des comptes classiques).
Le gouvernement américain aurait exigé d’OpenAI une période d’examen similaire pour son futur modèle GPT-5.6. Les performances atteindraient le niveau de Mythos et Fable d’Anthropic et feraient donc l’objet d’une analyse des risques. Seuls des acteurs triés sur le volet y auraient actuellement accès.
Mise à jour 19h30 – OpenAI a lancé ce vendredi soir GPT-5.6… mais uniquement à destination d’une poignée d’organisations et d’entreprises ayant reçu l’aval du gouvernement américain. Trois versions du LLM sont proposées : Sol (la plus puissante), Terra (équilibre performances/efficacité) et Luna (plus rapide et meilleur marché). L’objectif est de déployer ce modèle plus largement dans les prochaines semaines.
Article d’origine – OpenAI aurait accepté d’échelonner la sortie publique de son prochain modèle, GPT-5.6. C’est ce qu’affirme The Information dans un article du 25 juin, relayé par divers autres médias. Le gouvernement Trump aurait officiellement demandé à l’entreprise de retarder cette disponibilité et de lui donner un délai de 30 jours pour examiner la situation. Durant cette période, l’accès ne serait confié qu’à une poignée de partenaires sélectionnés avec soin, le temps que la Maison-Blanche étudie les implications pour la sécurité nationale.
Dans le sillage du décret présidentiel
Le 2 juin, Donald Trump a signé un décret présidentiel (executive order) intitulé « Promoting Advanced Artificial Intelligence Innovation and Security ». Il demande aux entreprises d’IA de soumettre volontairement leurs modèles les plus puissants à un examen gouvernemental jusqu’à 30 jours avant leur publication publique. Il prévoit également la création d’un AI cybersecurity clearinghouse (bureau central de la cybersécurité de l’IA) et mandate des benchmarks classifiés pour évaluer les capacités cyber des modèles.
Cet executive order stipule explicitement que rien dans son texte ne saurait être interprété comme autorisant la création d’une exigence gouvernementale de licences, de pré-autorisation ou de permis pour le développement, la publication ou la distribution de nouveaux modèles. La participation est formellement volontaire. Du moins, sur le papier.
En outre, le cadre opérationnel du décret n’est pas établi. Benchmarks classifiés, liste de modèles concernés, procédures d’évaluation : rien n’est encore fixé. Un groupe multi-agences dirigé par les secrétaires au Trésor, à la Guerre et à la Sécurité intérieure dispose de 60 jours (soit jusqu’au 31 juillet 2026) pour concevoir ce cadre.
Il n’aura pas fallu dix jours pour qu’Anthropic essuie les plâtres du décret. Le gouvernement américain, invoquant ses pouvoirs en matière de sécurité nationale, a émis une directive de contrôle des exportations ordonnant la suspension immédiate de tout accès à Fable 5 et Mythos 5 pour tout ressortissant étranger, où qu’il se trouve dans le monde, jusqu’aux employés d’Anthropic eux-mêmes.
Anthropic a reçu l’ordre le 12 juin. Le courrier ne contenait aucune raison précise à cette préoccupation gouvernementale. Anthropic, incapable de filtrer ses utilisateurs par nationalité, a fini par appliquer la seule solution qui s’adressait à elle : couper l’accès à tout le monde.
Dans son communiqué du même jour, l’entreprise explique que le gouvernement semble alors penser que Fable 5 a été « jailbreaké », permettant d’outrepasser ses limites. Fable est pour rappel une version de Mythos protégée en théorie par des garde-fous. Mythos n’étant accessible qu’au travers du projet Glasswing, composé d’une quarantaine d’organisations triées sur le volet, un tel jailbreak représentait effectivement un sérieux problème.
Mais Anthropic a vivement contesté le bien-fondé de la mesure : l’entreprise estimait que le jailbreak cité par le gouvernement était étroit et ne déverrouillerait les capacités cybersécurité de Mythos que dans un cas spécifique, pas de façon universelle. Elle ajoutait que le même jailbreak pouvait être utilisé pour obtenir des capacités similaires d’autres modèles publiquement disponibles, dont GPT-5.5 d’OpenAI, qui n’était pourtant pas concerné par de tels contrôles.
La décision s’est inscrite en outre dans un contexte politique tendu : les principaux conseillers tech de Trump, notamment l’ex-czar de l’IA David Sacks (Palantir) et le sous-secrétaire à la Défense Emil Michael, ont publiquement attaqué Anthropic et ses dirigeants. Sacks a accusé Anthropic d’être « woke » et « gauchiste » et de se livrer à une « stratégie sophistiquée de capture réglementaire fondée sur la peur », comme le rappelait Fortune le 13 juin. En mars 2026, le Pentagone avait déjà qualifié Anthropic de « risque pour la chaîne d’approvisionnement », et Anthropic poursuit le gouvernement en justice pour tenter de faire annuler cette désignation, les procédures étant toujours en cours.
Les deux cas ne sont toutefois pas les mêmes. Pour OpenAI, il s’agit cette fois d’une demande formelle avant le lancement du modèle. Pour Anthropic, l’ordre avait été donné a posteriori.
Si OpenAI veut commercialiser son modèle, elle doit soumettre à la Maison-Blanche les clients potentiels, qui seront approuvés ou pas après examen. Selon l’article de The Information, GPT-5.6 est estimé au même niveau que Mythos en capacités avancées de cybersécurité.
Toujours selon nos confrères, Sam Altman aurait communiqué la situation aux employés d’OpenAI via une note de service. Les responsables fédéraux approuveraient l’accès « client par client pendant cette période de prévisualisation », suivie « quelques semaines plus tard » d’une publication plus générale du modèle 5.6. Ce dernier pourrait alors sortir en juillet. « Nous avons clairement indiqué au gouvernement américain que ce n’est pas notre modèle préféré à long terme, et nous travaillerons avec lui et d’autres acteurs de l’industrie pour trouver une approche plus durable pour les futures publications », indiquerait également la note.
Un fonctionnement pérenne ?
Si la mesure doit s’appliquer désormais sur tout nouveau modèle issu d’une grande société américaine, les conséquences pourraient être multiples. Financièrement d’abord, car ces entreprises ont besoin de vendre des abonnements pour prétendre un jour à toute forme de rentabilité. Dans un domaine où la concurrence est très active et où la Chine peut dégainer à tout moment un modèle capable de faire fléchir la capitalisation boursière d’une société comme NVIDIA, ces retards ne peuvent être que mal vécus par Anthropic et NVIDIA.
Au-delà d’éventuelles manœuvres politiques, la situation illustre aussi l’ambivalence de la situation. D’un côté, un décret mettant l’accent sur la participation volontaire. De l’autre, une mise en œuvre finalement contraignante. L’absence de cadre clair génère de la confusion chez les entreprises, qui ne savent pas qui ou quelle agence gère effectivement la régulation. Par exemple, la demande adressée à OpenAI provenait directement de la Maison-Blanche, tandis que l’interdiction d’exportation pour Anthropic est venue du ministère du Commerce.
L’épisode d’Anthropic a également souligné la dépendance extrême que les entreprises ou d’autres structures peuvent ressentir quand un acteur aussi important désormais coupe les vannes. La clientèle ne peut que s’inquiéter quand un outil aussi majeur que Claude (ou en l’occurrence l’une de ses variantes) peut disparaitre sans préavis par simple décision politique.
C’est une nouvelle fois un enjeu de souveraineté numérique, comme l’a abordé récemment le Conseil de l’IA et du Numérique. Dans un document (PDF), celui-ci notait (point 4) que la vision américaine de cette notion se rapprochait « paradoxalement et étroitement de la vision chinoise ».
Le gouvernement américain aurait exigé d’OpenAI une période d’examen similaire pour son futur modèle GPT-5.6. Les performances atteindraient le niveau de Mythos et Fable d’Anthropic et feraient donc l’objet d’une analyse des risques. Seuls des acteurs triés sur le volet y auraient actuellement accès.
Mise à jour 19h30 – OpenAI a lancé ce vendredi soir GPT-5.6… mais uniquement à destination d’une poignée d’organisations et d’entreprises ayant reçu l’aval du gouvernement américain. Trois versions du LLM sont proposées : Sol (la plus puissante), Terra (équilibre performances/efficacité) et Luna (plus rapide et meilleur marché). L’objectif est de déployer ce modèle plus largement dans les prochaines semaines.
Article d’origine – OpenAI aurait accepté d’échelonner la sortie publique de son prochain modèle, GPT-5.6. C’est ce qu’affirme The Information dans un article du 25 juin, relayé par divers autres médias. Le gouvernement Trump aurait officiellement demandé à l’entreprise de retarder cette disponibilité et de lui donner un délai de 30 jours pour examiner la situation. Durant cette période, l’accès ne serait confié qu’à une poignée de partenaires sélectionnés avec soin, le temps que la Maison-Blanche étudie les implications pour la sécurité nationale.
Dans le sillage du décret présidentiel
Le 2 juin, Donald Trump a signé un décret présidentiel (executive order) intitulé « Promoting Advanced Artificial Intelligence Innovation and Security ». Il demande aux entreprises d’IA de soumettre volontairement leurs modèles les plus puissants à un examen gouvernemental jusqu’à 30 jours avant leur publication publique. Il prévoit également la création d’un AI cybersecurity clearinghouse (bureau central de la cybersécurité de l’IA) et mandate des benchmarks classifiés pour évaluer les capacités cyber des modèles.
Cet executive order stipule explicitement que rien dans son texte ne saurait être interprété comme autorisant la création d’une exigence gouvernementale de licences, de pré-autorisation ou de permis pour le développement, la publication ou la distribution de nouveaux modèles. La participation est formellement volontaire. Du moins, sur le papier.
En outre, le cadre opérationnel du décret n’est pas établi. Benchmarks classifiés, liste de modèles concernés, procédures d’évaluation : rien n’est encore fixé. Un groupe multi-agences dirigé par les secrétaires au Trésor, à la Guerre et à la Sécurité intérieure dispose de 60 jours (soit jusqu’au 31 juillet 2026) pour concevoir ce cadre.
Il n’aura pas fallu dix jours pour qu’Anthropic essuie les plâtres du décret. Le gouvernement américain, invoquant ses pouvoirs en matière de sécurité nationale, a émis une directive de contrôle des exportations ordonnant la suspension immédiate de tout accès à Fable 5 et Mythos 5 pour tout ressortissant étranger, où qu’il se trouve dans le monde, jusqu’aux employés d’Anthropic eux-mêmes.
Anthropic a reçu l’ordre le 12 juin. Le courrier ne contenait aucune raison précise à cette préoccupation gouvernementale. Anthropic, incapable de filtrer ses utilisateurs par nationalité, a fini par appliquer la seule solution qui s’adressait à elle : couper l’accès à tout le monde.
Dans son communiqué du même jour, l’entreprise explique que le gouvernement semble alors penser que Fable 5 a été « jailbreaké », permettant d’outrepasser ses limites. Fable est pour rappel une version de Mythos protégée en théorie par des garde-fous. Mythos n’étant accessible qu’au travers du projet Glasswing, composé d’une quarantaine d’organisations triées sur le volet, un tel jailbreak représentait effectivement un sérieux problème.
Mais Anthropic a vivement contesté le bien-fondé de la mesure : l’entreprise estimait que le jailbreak cité par le gouvernement était étroit et ne déverrouillerait les capacités cybersécurité de Mythos que dans un cas spécifique, pas de façon universelle. Elle ajoutait que le même jailbreak pouvait être utilisé pour obtenir des capacités similaires d’autres modèles publiquement disponibles, dont GPT-5.5 d’OpenAI, qui n’était pourtant pas concerné par de tels contrôles.
La décision s’est inscrite en outre dans un contexte politique tendu : les principaux conseillers tech de Trump, notamment l’ex-czar de l’IA David Sacks (Palantir) et le sous-secrétaire à la Défense Emil Michael, ont publiquement attaqué Anthropic et ses dirigeants. Sacks a accusé Anthropic d’être « woke » et « gauchiste » et de se livrer à une « stratégie sophistiquée de capture réglementaire fondée sur la peur », comme le rappelait Fortune le 13 juin. En mars 2026, le Pentagone avait déjà qualifié Anthropic de « risque pour la chaîne d’approvisionnement », et Anthropic poursuit le gouvernement en justice pour tenter de faire annuler cette désignation, les procédures étant toujours en cours.
Les deux cas ne sont toutefois pas les mêmes. Pour OpenAI, il s’agit cette fois d’une demande formelle avant le lancement du modèle. Pour Anthropic, l’ordre avait été donné a posteriori.
Si OpenAI veut commercialiser son modèle, elle doit soumettre à la Maison-Blanche les clients potentiels, qui seront approuvés ou pas après examen. Selon l’article de The Information, GPT-5.6 est estimé au même niveau que Mythos en capacités avancées de cybersécurité.
Toujours selon nos confrères, Sam Altman aurait communiqué la situation aux employés d’OpenAI via une note de service. Les responsables fédéraux approuveraient l’accès « client par client pendant cette période de prévisualisation », suivie « quelques semaines plus tard » d’une publication plus générale du modèle 5.6. Ce dernier pourrait alors sortir en juillet. « Nous avons clairement indiqué au gouvernement américain que ce n’est pas notre modèle préféré à long terme, et nous travaillerons avec lui et d’autres acteurs de l’industrie pour trouver une approche plus durable pour les futures publications », indiquerait également la note.
Un fonctionnement pérenne ?
Si la mesure doit s’appliquer désormais sur tout nouveau modèle issu d’une grande société américaine, les conséquences pourraient être multiples. Financièrement d’abord, car ces entreprises ont besoin de vendre des abonnements pour prétendre un jour à toute forme de rentabilité. Dans un domaine où la concurrence est très active et où la Chine peut dégainer à tout moment un modèle capable de faire fléchir la capitalisation boursière d’une société comme NVIDIA, ces retards ne peuvent être que mal vécus par Anthropic et NVIDIA.
Au-delà d’éventuelles manœuvres politiques, la situation illustre aussi l’ambivalence de la situation. D’un côté, un décret mettant l’accent sur la participation volontaire. De l’autre, une mise en œuvre finalement contraignante. L’absence de cadre clair génère de la confusion chez les entreprises, qui ne savent pas qui ou quelle agence gère effectivement la régulation. Par exemple, la demande adressée à OpenAI provenait directement de la Maison-Blanche, tandis que l’interdiction d’exportation pour Anthropic est venue du ministère du Commerce.
L’épisode d’Anthropic a également souligné la dépendance extrême que les entreprises ou d’autres structures peuvent ressentir quand un acteur aussi important désormais coupe les vannes. La clientèle ne peut que s’inquiéter quand un outil aussi majeur que Claude (ou en l’occurrence l’une de ses variantes) peut disparaitre sans préavis par simple décision politique.
C’est une nouvelle fois un enjeu de souveraineté numérique, comme l’a abordé récemment le Conseil de l’IA et du Numérique. Dans un document (PDF), celui-ci notait (point 4) que la vision américaine de cette notion se rapprochait « paradoxalement et étroitement de la vision chinoise ».
Mistral a lancé la quatrième version de son modèle dédié à l’OCR, la reconnaissance de texte. Mais de simple extracteur de texte, le modèle spécialisé devient un parseur documentaire sémantique, que Mistral présente comme particulièrement adapté aux pipelines de recherche ou au RAG. L’entreprise parle désormais d’intelligence documentaire.
Le nouveau modèle Mistral OCR 4 lancé ce 23 juin vise l’extraction d’informations et la restitution de représentations structurées de documents entiers. Cette nouvelle version va donc plus loin que la seule extraction de données, au point que le nom même du modèle devient peu représentatif de ce qu’il a vraiment dans le ventre.
Selon Mistral en effet, OCR 4 « extrait et structure le contenu d’un large éventail de documents ». Tous les formats courants comme PDF, DOC, PPT et ODF sont pris en charge. « Là où les générations précédentes se concentraient sur la conversion d’une page en texte et tableaux clairs, OCR 4 restitue une représentation structurée du document », avec encadrés « englobants » (bounding boxes), classification par blocs et scores de confiance par page et par mot.
Ce que fait le nouveau modèle
Dans son communiqué, Mistral assure que ces encadrements étaient la fonction la plus demandée. OCR 4 prend ainsi en charge des données de localisation capables de présenter une traçabilité de l’information. Le modèle renvoie ainsi une représentation en couches dans laquelle chaque bloc est localisé dans une boite, classé par type (titre, tableau, équation, signature, etc.) et assorti d’une note de confiance.
Mais à quoi tout cela sert-il ? Sans ces informations, et avec les modèles précédents, les systèmes en aval ne pouvaient pas retracer un extrait jusqu’à sa source sur une page spécifique. Impossible de poser alors une question simple comme « D’où vient ce chiffre ? ». OCR 4 permet de résoudre ces problèmes selon Mistral.
Autre avantage de cette classification, un texte tagué comme « titre » peut segmenter un document en morceaux hiérarchiques pour une recherche sémantique. En fait, chaque morceau d’un document, une fois étiqueté, peut être acheminé vers un pipeline de traitement spécifique ou non. Si l’on prend le cas des éléments reconnus comme signatures par exemple, ils peuvent alors être repris dans des flux de travail dans un système de conformité.
Mistral indique que ces opérations ne sont pas nouvelles en soi. En revanche, le nouveau modèle les intègre toutes, annulant pour les clients le besoin d’entreprendre eux-mêmes ces traitements et analyses. OCR 4 propose ainsi une fonction triple : localisation spatiale, typage sémantique et confiance. Les zones ayant une confiance faible pourront par exemple être automatiquement routées vers des vérificateurs humains. À l’inverse, les éléments obtenant une note élevée pourront intégrés automatiquement dans les flux de travail.
La reconnaissance de texte est rarement la finalité dans ce type de processus. Le développement de systèmes RAG, des flux de travail agentiques ou tout ce qui touche à une forme d’automatisation avec les documents demande plus de temps que cette étape. OCR 4 veut justement taper dans la fourmilière en proposant une solution capable de faire sauter toute l’étape de reconstruction, avec à la clé des économies, aussi bien sur les coûts de l’OCR proprement dit que sur les heures investies par les ingénieurs chargés du reste. C’est du moins ce qu’affirme Mistral.
Scores à l’appui
Pour prouver le sérieux de sa nouvelle offre, l’entreprise donne plusieurs chiffres. Des annotateurs indépendants auraient ainsi préféré OCR 4 dans 72 % des cas face « à tous les principaux systèmes OCT et IA documentaires testés ». Le modèle de Mistral affiche également un score de 85,20 % sur le benchmark OlmOCRBench, prenant la première place. Le modèle prend en charge 170 langues réparties dans 10 groupes linguistiques, « avec des gains mesurables sur les langues spécialisées et à faibles ressources où plusieurs systèmes concurrents se dégradent ».
Mistral affirme également que son modèle est suffisamment compact pour être déployé dans un seul conteneur. Le Français met ce point en avant, évoquant les gains de confidentialité, de conformité et – bien sûr – de souveraineté. Plusieurs témoignages élogieux sont de la partie dans le billet de blog, de même que sur X.
La tarification proposée via l’API est de 4 dollars pour 1 000 pages, avec une remise de 50 % sur l’API par lots. Si les développeurs passent par Document AI, le tarif passe à 5 dollars pour 1 000 pages. Les cas d’utilisation recommandés sont ceux attendus : analyse et extraction de documents, RAG, flux de travail agentiques, pipelines de données structurées utilisant des scores de confiance, et recherches en bases de connaissances.
Mistral tient cependant à rappeler que son nouveau modèle vise la compréhension, pas l’aide à la décision. « Il n’est pas destiné au diagnostic médical, aux conseils ou jugements juridiques, aux décisions financières à enjeux élevés, aux systèmes critiques pour la sécurité, au traitement en temps réel ou sensible à la latence, ni aux entrées non documentaires (audio brut, vidéo, etc.) », indique l’entreprise.
Mistral a lancé la quatrième version de son modèle dédié à l’OCR, la reconnaissance de texte. Mais de simple extracteur de texte, le modèle spécialisé devient un parseur documentaire sémantique, que Mistral présente comme particulièrement adapté aux pipelines de recherche ou au RAG. L’entreprise parle désormais d’intelligence documentaire.
Le nouveau modèle Mistral OCR 4 lancé ce 23 juin vise l’extraction d’informations et la restitution de représentations structurées de documents entiers. Cette nouvelle version va donc plus loin que la seule extraction de données, au point que le nom même du modèle devient peu représentatif de ce qu’il a vraiment dans le ventre.
Selon Mistral en effet, OCR 4 « extrait et structure le contenu d’un large éventail de documents ». Tous les formats courants comme PDF, DOC, PPT et ODF sont pris en charge. « Là où les générations précédentes se concentraient sur la conversion d’une page en texte et tableaux clairs, OCR 4 restitue une représentation structurée du document », avec encadrés « englobants » (bounding boxes), classification par blocs et scores de confiance par page et par mot.
Ce que fait le nouveau modèle
Dans son communiqué, Mistral assure que ces encadrements étaient la fonction la plus demandée. OCR 4 prend ainsi en charge des données de localisation capables de présenter une traçabilité de l’information. Le modèle renvoie ainsi une représentation en couches dans laquelle chaque bloc est localisé dans une boite, classé par type (titre, tableau, équation, signature, etc.) et assorti d’une note de confiance.
Mais à quoi tout cela sert-il ? Sans ces informations, et avec les modèles précédents, les systèmes en aval ne pouvaient pas retracer un extrait jusqu’à sa source sur une page spécifique. Impossible de poser alors une question simple comme « D’où vient ce chiffre ? ». OCR 4 permet de résoudre ces problèmes selon Mistral.
Autre avantage de cette classification, un texte tagué comme « titre » peut segmenter un document en morceaux hiérarchiques pour une recherche sémantique. En fait, chaque morceau d’un document, une fois étiqueté, peut être acheminé vers un pipeline de traitement spécifique ou non. Si l’on prend le cas des éléments reconnus comme signatures par exemple, ils peuvent alors être repris dans des flux de travail dans un système de conformité.
Mistral indique que ces opérations ne sont pas nouvelles en soi. En revanche, le nouveau modèle les intègre toutes, annulant pour les clients le besoin d’entreprendre eux-mêmes ces traitements et analyses. OCR 4 propose ainsi une fonction triple : localisation spatiale, typage sémantique et confiance. Les zones ayant une confiance faible pourront par exemple être automatiquement routées vers des vérificateurs humains. À l’inverse, les éléments obtenant une note élevée pourront intégrés automatiquement dans les flux de travail.
La reconnaissance de texte est rarement la finalité dans ce type de processus. Le développement de systèmes RAG, des flux de travail agentiques ou tout ce qui touche à une forme d’automatisation avec les documents demande plus de temps que cette étape. OCR 4 veut justement taper dans la fourmilière en proposant une solution capable de faire sauter toute l’étape de reconstruction, avec à la clé des économies, aussi bien sur les coûts de l’OCR proprement dit que sur les heures investies par les ingénieurs chargés du reste. C’est du moins ce qu’affirme Mistral.
Scores à l’appui
Pour prouver le sérieux de sa nouvelle offre, l’entreprise donne plusieurs chiffres. Des annotateurs indépendants auraient ainsi préféré OCR 4 dans 72 % des cas face « à tous les principaux systèmes OCT et IA documentaires testés ». Le modèle de Mistral affiche également un score de 85,20 % sur le benchmark OlmOCRBench, prenant la première place. Le modèle prend en charge 170 langues réparties dans 10 groupes linguistiques, « avec des gains mesurables sur les langues spécialisées et à faibles ressources où plusieurs systèmes concurrents se dégradent ».
Mistral affirme également que son modèle est suffisamment compact pour être déployé dans un seul conteneur. Le Français met ce point en avant, évoquant les gains de confidentialité, de conformité et – bien sûr – de souveraineté. Plusieurs témoignages élogieux sont de la partie dans le billet de blog, de même que sur X.
La tarification proposée via l’API est de 4 dollars pour 1 000 pages, avec une remise de 50 % sur l’API par lots. Si les développeurs passent par Document AI, le tarif passe à 5 dollars pour 1 000 pages. Les cas d’utilisation recommandés sont ceux attendus : analyse et extraction de documents, RAG, flux de travail agentiques, pipelines de données structurées utilisant des scores de confiance, et recherches en bases de connaissances.
Mistral tient cependant à rappeler que son nouveau modèle vise la compréhension, pas l’aide à la décision. « Il n’est pas destiné au diagnostic médical, aux conseils ou jugements juridiques, aux décisions financières à enjeux élevés, aux systèmes critiques pour la sécurité, au traitement en temps réel ou sensible à la latence, ni aux entrées non documentaires (audio brut, vidéo, etc.) », indique l’entreprise.
Microsoft vient de procéder, ce jeudi 25 juin, à un changement important dans le support de Windows 10 : tous les appareils ayant souscrit au programme ESU (Extended Support Updates) recevront des mises à jour de sécurité pendant une année supplémentaire, portant la nouvelle date de fin au 12 octobre 2027.
Pour rappel, la fin du support de Windows 10 a provoqué de nombreuses frustrations. Beaucoup se posaient la question : pourquoi changer un matériel parfaitement fonctionnel ? Pour Microsoft, la logique était économique, puisque la mise à jour vers Windows 11 réclamait obligatoirement certains composants liés à la sécurité, provoquant une vague d’achats de nouveaux matériels.
Mais le contexte a profondément changé en un an. Linux commence à se faire une place chez les joueurs, alors que les jeux vidéo étaient pratiquement la chasse gardée de Microsoft sur les PC. En outre, plus récemment, la course à l’IA a entrainé une flambée des tarifs sur les composants, rendant les achats de PC plus onéreux.
En Europe, Microsoft avait décidé de calmer un peu le jeu en rendant l’inscription au programme ESU gratuite la première année. La démarche était cependant volontaire, même si le système envoie des notifications à ce sujet. En outre, il est obligatoire de posséder un compte Microsoft pour activer cette extension. Enfin, le programme concerne uniquement les failles de sécurité de sévérité importante à critique, pas les autres ni les bugs plus généraux.
Microsoft, qui semble depuis quelque temps vouloir redorer un peu son blason, annonce donc une nouvelle étape : la fin du programme ESU est repoussée d’un an, glissant du 16 octobre 2026 au 12 octobre 2027.
Microsoft « comprend »
Interrogée par plusieurs médias, l’entreprise se veut apaisante. « Nous comprenons que le passage à un nouveau PC peut prendre du temps. Dans le cadre de notre engagement continu à aider nos clients à rester protégés pendant cette transition, le programme de mises à jour de sécurité étendues (ESU) de Windows 10 pour les appareils personnels est prolongé d’une année supplémentaire », a ainsi déclaré un porte-parole à BFMTV.
« Cela offre à nos clients davantage de temps et de flexibilité pour trouver le PC le mieux adapté à leurs besoins, tout en leur permettant de rester protégés », a ajouté Microsoft.
Du côté de l’association HOP (Halte à l’Obsolescence Programmée), on applaudit avec mesure : elle « salue la nouvelle, mais reste nuancée face à cette volte-face très tardive ». L’association rappelle qu’en tenant compte de cette année supplémentaire, Windows 10 aura finalement 12 ans de support pour la sécurité. Un score qu’elle juge « insuffisant », car elle réclame 15 ans à partir de la dernière unité vendue.
Microsoft vient de procéder, ce jeudi 25 juin, à un changement important dans le support de Windows 10 : tous les appareils ayant souscrit au programme ESU (Extended Support Updates) recevront des mises à jour de sécurité pendant une année supplémentaire, portant la nouvelle date de fin au 12 octobre 2027.
Pour rappel, la fin du support de Windows 10 a provoqué de nombreuses frustrations. Beaucoup se posaient la question : pourquoi changer un matériel parfaitement fonctionnel ? Pour Microsoft, la logique était économique, puisque la mise à jour vers Windows 11 réclamait obligatoirement certains composants liés à la sécurité, provoquant une vague d’achats de nouveaux matériels.
Mais le contexte a profondément changé en un an. Linux commence à se faire une place chez les joueurs, alors que les jeux vidéo étaient pratiquement la chasse gardée de Microsoft sur les PC. En outre, plus récemment, la course à l’IA a entrainé une flambée des tarifs sur les composants, rendant les achats de PC plus onéreux.
En Europe, Microsoft avait décidé de calmer un peu le jeu en rendant l’inscription au programme ESU gratuite la première année. La démarche était cependant volontaire, même si le système envoie des notifications à ce sujet. En outre, il est obligatoire de posséder un compte Microsoft pour activer cette extension. Enfin, le programme concerne uniquement les failles de sécurité de sévérité importante à critique, pas les autres ni les bugs plus généraux.
Microsoft, qui semble depuis quelque temps vouloir redorer un peu son blason, annonce donc une nouvelle étape : la fin du programme ESU est repoussée d’un an, glissant du 16 octobre 2026 au 12 octobre 2027.
Microsoft « comprend »
Interrogée par plusieurs médias, l’entreprise se veut apaisante. « Nous comprenons que le passage à un nouveau PC peut prendre du temps. Dans le cadre de notre engagement continu à aider nos clients à rester protégés pendant cette transition, le programme de mises à jour de sécurité étendues (ESU) de Windows 10 pour les appareils personnels est prolongé d’une année supplémentaire », a ainsi déclaré un porte-parole à BFMTV.
« Cela offre à nos clients davantage de temps et de flexibilité pour trouver le PC le mieux adapté à leurs besoins, tout en leur permettant de rester protégés », a ajouté Microsoft.
Du côté de l’association HOP (Halte à l’Obsolescence Programmée), on applaudit avec mesure : elle « salue la nouvelle, mais reste nuancée face à cette volte-face très tardive ». L’association rappelle qu’en tenant compte de cette année supplémentaire, Windows 10 aura finalement 12 ans de support pour la sécurité. Un score qu’elle juge « insuffisant », car elle réclame 15 ans à partir de la dernière unité vendue.
Le Crédit Agricole a décidé de venir concurrencer directement Apple Pay sur les iPhone. La banque vient de lancer une application dédiée aux paiements par carte bancaire. Elle se pose en alternative à l’application Cartes, posant des questions d’intégration.
L’application Paiement Mobile (iOS 17.4 au moins) a été lancée sur l’App Store ce mardi 23 juin. Elle propose d’enregistrer une ou plusieurs cartes bancaires, puis de régler les achats. Un type de fonction que l’on connait depuis longtemps avec des systèmes aujourd’hui omniprésents comme Apple Pay et Google Pay.
Une possibilité européenne
De fait, pourquoi se lancer sur ce créneau déjà très occupé ? Parce qu’elle le peut. Comme le notent nos confrères d’iGeneration (qui ont repéré l’application avant son lancement officiel), l’évolution de la législation en Europe a permis l’ouverture de la puce NFC sur l’iPhone. Dès lors, les banques ont la possibilité de profiter de ce matériel pour déclencher des opérations de paiements, par exemple au moment de payer ses courses. Et si elles le font, c’est pour en finir avec la petite commission prélevée par Apple pour chaque opération, tout comme Google avec sa solution. En échange, le processus est simple, puisque la carte peut être appelée par une double pression sur le bouton Alimentation sur l’iPhone.
Comme nous l’indiquions en juillet 2024, cette ouverture de la puce NFC se fait avec un autre avantage : la possibilité de déclarer l’application de paiement par défaut. Comme indiqué par iGeneration dans son test publié ce 24 juin, la capacité est prise en charge par l’application du Crédit Agricole, qui invite d’ailleurs à le faire. En cas de double pression sur le bouton Alimentation de l’iPhone, ce sera alors Paiement Mobile qui sera appelée, plutôt que l’application Cartes intégrée à iOS.
Comme pour Cartes d’ailleurs, l’application mobile bancaire peut être utilisée sur toutes les bornes de paiement acceptant le sans contact. Autre bon point, la possibilité de choisir son réseau de paiement, par exemple entre CB et Mastercard ou Visa.
En revanche, il existe une nette limitation : l’intégration dans iOS ne remonte pas jusqu’à l’Apple Watch, car elle ne faisait pas partie de l’accord avec l’Union européenne. Contrairement à Apple Pay, on ne peut donc pas payer rapidement en approchant la montre du terminal.
La banque assure qu’elle gardera Apple Pay
Enfin, la grande question était de savoir s’il s’agissait d’une première étape avant le retrait du support d’Apple Pay au Crédit Agricole. La banque assure que non : « Il n’a jamais été dans notre intention de quitter Apple Pay », a déclaré le 24 juin un porte-parole à iGeneration. La banque a ajouté qu’il s’agissait d’une solution « complémentaire » et a assuré qu’elle communiquerait très bientôt sur le sujet. Nos confrères suggèrent que l’aspect souveraineté pourrait être mis en avant, car sur le plan pratique, l’application n’apporte rien de neuf, voire supprime des possibilités si l’on est habitué à payer via l’Apple Watch.
Enfin, mieux vaut que le Crédit Agricole communique rapidement sur le sujet. Sur les réseaux sociaux, la crainte d’une suppression de la compatibilité Apple Pay était vive le 24 juin.
Notez que l’application existe sur Android depuis un moment, mais elle ne semble pas jouir d’une grande estime sur la plateforme de Google, au vu des commentaires laissés sur sa fiche.
Le Crédit Agricole a décidé de venir concurrencer directement Apple Pay sur les iPhone. La banque vient de lancer une application dédiée aux paiements par carte bancaire. Elle se pose en alternative à l’application Cartes, posant des questions d’intégration.
L’application Paiement Mobile (iOS 17.4 au moins) a été lancée sur l’App Store ce mardi 23 juin. Elle propose d’enregistrer une ou plusieurs cartes bancaires, puis de régler les achats. Un type de fonction que l’on connait depuis longtemps avec des systèmes aujourd’hui omniprésents comme Apple Pay et Google Pay.
Une possibilité européenne
De fait, pourquoi se lancer sur ce créneau déjà très occupé ? Parce qu’elle le peut. Comme le notent nos confrères d’iGeneration (qui ont repéré l’application avant son lancement officiel), l’évolution de la législation en Europe a permis l’ouverture de la puce NFC sur l’iPhone. Dès lors, les banques ont la possibilité de profiter de ce matériel pour déclencher des opérations de paiements, par exemple au moment de payer ses courses. Et si elles le font, c’est pour en finir avec la petite commission prélevée par Apple pour chaque opération, tout comme Google avec sa solution. En échange, le processus est simple, puisque la carte peut être appelée par une double pression sur le bouton Alimentation sur l’iPhone.
Comme nous l’indiquions en juillet 2024, cette ouverture de la puce NFC se fait avec un autre avantage : la possibilité de déclarer l’application de paiement par défaut. Comme indiqué par iGeneration dans son test publié ce 24 juin, la capacité est prise en charge par l’application du Crédit Agricole, qui invite d’ailleurs à le faire. En cas de double pression sur le bouton Alimentation de l’iPhone, ce sera alors Paiement Mobile qui sera appelée, plutôt que l’application Cartes intégrée à iOS.
Comme pour Cartes d’ailleurs, l’application mobile bancaire peut être utilisée sur toutes les bornes de paiement acceptant le sans contact. Autre bon point, la possibilité de choisir son réseau de paiement, par exemple entre CB et Mastercard ou Visa.
En revanche, il existe une nette limitation : l’intégration dans iOS ne remonte pas jusqu’à l’Apple Watch, car elle ne faisait pas partie de l’accord avec l’Union européenne. Contrairement à Apple Pay, on ne peut donc pas payer rapidement en approchant la montre du terminal.
La banque assure qu’elle gardera Apple Pay
Enfin, la grande question était de savoir s’il s’agissait d’une première étape avant le retrait du support d’Apple Pay au Crédit Agricole. La banque assure que non : « Il n’a jamais été dans notre intention de quitter Apple Pay », a déclaré le 24 juin un porte-parole à iGeneration. La banque a ajouté qu’il s’agissait d’une solution « complémentaire » et a assuré qu’elle communiquerait très bientôt sur le sujet. Nos confrères suggèrent que l’aspect souveraineté pourrait être mis en avant, car sur le plan pratique, l’application n’apporte rien de neuf, voire supprime des possibilités si l’on est habitué à payer via l’Apple Watch.
Enfin, mieux vaut que le Crédit Agricole communique rapidement sur le sujet. Sur les réseaux sociaux, la crainte d’une suppression de la compatibilité Apple Pay était vive le 24 juin.
Notez que l’application existe sur Android depuis un moment, mais elle ne semble pas jouir d’une grande estime sur la plateforme de Google, au vu des commentaires laissés sur sa fiche.
Canonical a annoncé ce 23 juin la compatibilité de sa fonction Livepatch avec la variante Arm64 d’Ubuntu. Au-delà de cette extension, quels systèmes d’exploitation disposent aujourd’hui de ce type de mise à jour sans redémarrage ? Comment fonctionne un tel processus ?
Canonical n’était pas peu fière d’annoncer la disponibilité de son Livepatch sur Ubuntu Arm64. L’architecture, qui a largement le vent en poupe depuis plusieurs années, finit par posséder les mêmes capacités que le monde x86, au fur et à mesure que la chaine d’outils nécessaire murit. C’est en tout cas la vision qu’en donne Canonical dans son billet d’annonce, notant que la « prolifération des processeurs Arm hautes performances dans les environnements cloud et l’augmentation des dispositifs complexes en périphérie » avaient rendu ce travail « impératif ».
L’éditeur indique que cette nouveauté a nécessité plusieurs années d’efforts. Il ne suffisait pas de distribuer du code nativement arm64, toute l’infrastructure de production devait être adaptée. Cela signifiait, dans le cas présent, ajouter tout l’appareil de compilation et de test pour ces nouvelles versions, sur de multiples versions du noyau, sans passer par l’émulation.
En conséquence, les entreprises utilisant Ubuntu 26.04 LTS et Ubuntu Core 26 (version entièrement conteneurisée du système) sur du matériel Arm64 peuvent maintenant profiter de Livepatch. Tout du moins s’ils ont l’abonnement Ubuntu Pro, comme pour les autres architectures déjà concernées. Rappelons que la formule est gratuite pour une utilisation personnelle et peut donc intéresser les « enthousiastes », dans une limite de cinq appareils.
Et chez les autres ?
La capacité de patcher en direct un système d’exploitation sans nécessiter de redémarrage est déjà ancienne. On trouve ce type de fonction chez les éditeurs tournés vers les entreprises.
Chez Red Hat par exemple, le live patching a longtemps reposé sur la technologie kpatch. L’entreprise se concentre sur les architectures x86_64 et ppc64le pour son système Red Hat Enterprise Linux (RHEL). Elle délaisse l’architecture Arm64, en tout cas pour l’instant. Les correctifs sont cumulatifs et distribués toutes les six semaines sous forme de packages RPM classiques via le Content Delivery Network de Red Hat. La fonction n’est disponible qu’à travers un abonnement RHEL.
Il reste 80% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Depuis des décennies, les développeurs Linux utilisent une fonction nommée strncpy pour copier du texte. Développée en C, elle est étiquetée comme dangereuse par la propre documentation du noyau. Problème, elle est omniprésente.
Pour comprendre le problème, on peut utiliser une analogie. Supposons que la mémoire de l’ordinateur est comme une série de casiers. Quand un programme veut enregistrer un texte, il réserve une boite d’une certaine taille et y écrit le texte. En langage C, l’ordinateur n’a pas de moyen « naturel » pour savoir quand le mot s’arrête. Il y a donc une règle simple : quand le programme écrit un texte, il faut qu’un point rouge (caractère de fin de chaîne \0) en signale la fin.
Long Ma pour Unsplash
Et c’est là que les ennuis commencent. La fonction strncpy() est responsable de la copie des textes, mais elle a un gros défaut : quand le texte est trop long, elle coupe la séquence de caractères, mais oublie d’ajouter un point. Et quand le texte est trop court ? Elle ajoute autant de points rouges que nécessaire pour remplir le champ réservé. Les conséquences vont du gaspillage d’énergie à la fuite de secrets, car l’absence de point rouge entraine l’application ou le service à lire ce qui se trouve au-delà, donc des informations présentes dans d’autres « casiers ».
Ces problèmes sont connus depuis longtemps, mais leur résolution a demandé un vaste effort d’ingénierie. Des développeurs ont ainsi passé les six dernières années à référencer toutes les occurrences de la fonction strncpy dans l’intégralité du code du noyau, totalisant 362 commits (des participations, en quelque sorte), rapporte Phoronix. La version 7.2 à venir sera donc la première à ne plus posséder strncpy, remplacé par des variantes modernes et beaucoup plus sécurisées.
Dans la plupart des cas, il s’agira de strscpy, qui possède le comportement adapté : l’outil copie du texte, mais si la séquence est trop longue, il la tronçonne en ajoutant systématiquement un point rouge à la fin de chaque morceau. Strncpy est donc supprimé définitivement à partir du prochain noyau, avec impossibilité d’y faire appel.
Depuis des décennies, les développeurs Linux utilisent une fonction nommée strncpy pour copier du texte. Développée en C, elle est étiquetée comme dangereuse par la propre documentation du noyau. Problème, elle est omniprésente.
Pour comprendre le problème, on peut utiliser une analogie. Supposons que la mémoire de l’ordinateur est comme une série de casiers. Quand un programme veut enregistrer un texte, il réserve une boite d’une certaine taille et y écrit le texte. En langage C, l’ordinateur n’a pas de moyen « naturel » pour savoir quand le mot s’arrête. Il y a donc une règle simple : quand le programme écrit un texte, il faut qu’un point rouge (caractère de fin de chaîne \0) en signale la fin.
Long Ma pour Unsplash
Et c’est là que les ennuis commencent. La fonction strncpy() est responsable de la copie des textes, mais elle a un gros défaut : quand le texte est trop long, elle coupe la séquence de caractères, mais oublie d’ajouter un point. Et quand le texte est trop court ? Elle ajoute autant de points rouges que nécessaire pour remplir le champ réservé. Les conséquences vont du gaspillage d’énergie à la fuite de secrets, car l’absence de point rouge entraine l’application ou le service à lire ce qui se trouve au-delà, donc des informations présentes dans d’autres « casiers ».
Ces problèmes sont connus depuis longtemps, mais leur résolution a demandé un vaste effort d’ingénierie. Des développeurs ont ainsi passé les six dernières années à référencer toutes les occurrences de la fonction strncpy dans l’intégralité du code du noyau, totalisant 362 commits (des participations, en quelque sorte), rapporte Phoronix. La version 7.2 à venir sera donc la première à ne plus posséder strncpy, remplacé par des variantes modernes et beaucoup plus sécurisées.
Dans la plupart des cas, il s’agira de strscpy, qui possède le comportement adapté : l’outil copie du texte, mais si la séquence est trop longue, il la tronçonne en ajoutant systématiquement un point rouge à la fin de chaque morceau. Strncpy est donc supprimé définitivement à partir du prochain noyau, avec impossibilité d’y faire appel.
Microsoft diffuse depuis ce 23 juin une mise à jour – pour l’instant optionnelle – contenant une série d’améliorations pour Windows 11. Parmi elles, une nouvelle fonction de restauration depuis une sauvegarde, capable de remettre en place un ancien état du système datant de quelques jours au maximum, et la possibilité de reporter indéfiniment les mises à jour.
Nouvelle mise à jour pour Windows 11, avec à son bord de multiples ajouts plus ou moins importants. Portant la référence KB5095093, elle est distribuée depuis le 23 juin et se présente pour l’instant sous forme de téléchargement optionnel, quand le réglage « Recevez les dernières mises à jour dès qu’elles sont disponibles » est activé dans Windows Update. Dans notre cas, la fin de l’installation a déclenché deux redémarrages et a nécessité un peu plus de temps que d’habitude.
Une nouvelle restauration
La nouveauté la plus visible est une fonction nommée « Restauration à un instant dans le passé ». On peut la trouver dans les Paramètres > Système > Récupération. Là, une nouvelle entrée est disponible dans la partie « Options de récupération », en bas de liste.
L’ouverture du panneau correspondant réclame une validation des droits administrateurs. Dans la petite fenêtre qui s’ouvre, on peut voir une fonction activée par défaut se proposant de sauvegarder régulièrement l’état du système pour le restaurer en cas de besoin. N’est-ce pas déjà le rôle de la fonction Restauration présente depuis des années ? Oui, mais avec des différences notables.
Contrairement au mécanisme existant, la nouvelle restauration enregistre l’état complet du système à intervalles réguliers, par défaut toutes les 24 heures. L’ancien mécanisme – toujours présent – ne se déclenche qu’à certains évènements, comme l’installation d’un pilote ou d’une application, et ne sauvegarde que les fichiers système et les paramètres.
Les options liées à cette restauration dépendent de la licence utilisée pour Windows. Pour la grande majorité des PC (éditions Famille et Professionnels), le cycle de 24 heures est obligatoire. Avec une licence Entreprise, on peut choisir des cycles de 4, 8, 12 ou 24 heures. La durée de rétention est fixée par défaut à 72 heures, et on ne peut pas aller plus loin. Les licences Entreprise peuvent faire varier cette durée à 6, 12, 16 ou 24 heures. Le seul réglage identique à toutes les éditions est la quantité de stockage affectée. Elle est par défaut de 2 % de l’espace disque total, que l’on peut faire varier de 0 à 3 %.
Il y a donc une limite nette à la quantité d’états que cette fonction peut garder. Quelle que soit la fréquence, les états finiront par être effacés au bout de 72 heures maximum ou quand l’espace réservé est plein. Le panneau indique toujours la présence des derniers états, ainsi que l’espace consommé par ces sauvegardes. En outre, la fonction ne s’active automatiquement que si le PC dispose d’au moins 200 Go d’espace libre sur le disque. Dans le cas contraire, la fonction est coupée, mais on peut l’activer manuellement depuis le même panneau. On peut l’éteindre à tout moment.
Enfin, le processus de restauration lui-même ne peut pas être déclenché depuis Windows. Pour s’en servir, vous devez redémarrer la machine dans l’environnement de récupération (WinRE). L’accès le plus simple se trouve depuis le même panneau Système > Récupération. Depuis l’interface de WinRE, il suffira alors de sélectionner « Restauration à un point dans le passé » et de choisir la sauvegarde. Si le disque est chiffré avec BitLocker, la clé de récupération devra être saisie.
Windows Update peut reporter indéfiniment les mises à jour
Il reste 51% de l'article à découvrir. Vous devez être abonné•e pour lire la suite de cet article. Déjà abonné•e ? Générez une clé RSS dans votre profil.
Sync-in est une solution d’hébergement et de synchronisation de fichiers libre et open source (licence AGPL 3), dont le code est disponible depuis un dépôt GitHub. Nous nous étions entretenus avec le créateur du projet, Johan Legrand, qui nous avait alors expliqué ses motivations : proposer une solution simple de synchronisation et de gestion des fichiers, et se concentrer sur l’aspect collaboratif.
La version 2.4, disponible depuis ce 23 juin, comporte bon nombre d’améliorations. En plus d’OnlyOffice et Collabora, l’outil prend en charge Euro-Office. Il est désormais possible d’annuler des tâches (envois, téléchargements, extractions…) depuis le panneau des tâches. Les tâches liées aux fichiers sont d’ailleurs maintenant mises en file d’attente et limitées par utilisateur. Ce changement doit empêcher de lancer un trop grand nombre d’opérations lourdes en parallèle.
On note également deux améliorations bienvenues. Sync-in 2.4 apporte ainsi le support des archives ZIP, en plus des TAR et TGZ déjà prises en charge. D’autre part, l’outil peut à présent vérifier l’email OpenID Connect. Il s’agit d’une option, qui permet aux administrateurs d’exiger qu’un utilisateur OIDC ait une adresse vérifiée avant de pouvoir associer son compte.
Une mesure de sécurité complétée par plusieurs corrections, notamment pour une application renforcée de l’authentification multifacteur et une meilleure défense contre les essais répétés de codes TOTP (Time based One Time Password). On note aussi des améliorations de fiabilité, dont les téléchargements depuis une URL, diverses corrections pour les éditeurs texte et Markdown, la sélection filtrée, le démarrage du serveur et le chargement de configuration.
Le projet a largement accéléré depuis l’automne dernier, avec la sortie de multiples versions. Au cours des six derniers mois, on a pu voir l’arrivée d’un éditeur Markdown intégré, la rétention optionnelle de la corbeille, une amélioration de l’indexation, l’OCR pour les PDF, le support d’OpenID Connect ou encore une refonte de l’interface.
Sync-in est une solution d’hébergement et de synchronisation de fichiers libre et open source (licence AGPL 3), dont le code est disponible depuis un dépôt GitHub. Nous nous étions entretenus avec le créateur du projet, Johan Legrand, qui nous avait alors expliqué ses motivations : proposer une solution simple de synchronisation et de gestion des fichiers, et se concentrer sur l’aspect collaboratif.
La version 2.4, disponible depuis ce 23 juin, comporte bon nombre d’améliorations. En plus d’OnlyOffice et Collabora, l’outil prend en charge Euro-Office. Il est désormais possible d’annuler des tâches (envois, téléchargements, extractions…) depuis le panneau des tâches. Les tâches liées aux fichiers sont d’ailleurs maintenant mises en file d’attente et limitées par utilisateur. Ce changement doit empêcher de lancer un trop grand nombre d’opérations lourdes en parallèle.
On note également deux améliorations bienvenues. Sync-in 2.4 apporte ainsi le support des archives ZIP, en plus des TAR et TGZ déjà prises en charge. D’autre part, l’outil peut à présent vérifier l’email OpenID Connect. Il s’agit d’une option, qui permet aux administrateurs d’exiger qu’un utilisateur OIDC ait une adresse vérifiée avant de pouvoir associer son compte.
Une mesure de sécurité complétée par plusieurs corrections, notamment pour une application renforcée de l’authentification multifacteur et une meilleure défense contre les essais répétés de codes TOTP (Time based One Time Password). On note aussi des améliorations de fiabilité, dont les téléchargements depuis une URL, diverses corrections pour les éditeurs texte et Markdown, la sélection filtrée, le démarrage du serveur et le chargement de configuration.
Le projet a largement accéléré depuis l’automne dernier, avec la sortie de multiples versions. Au cours des six derniers mois, on a pu voir l’arrivée d’un éditeur Markdown intégré, la rétention optionnelle de la corbeille, une amélioration de l’indexation, l’OCR pour les PDF, le support d’OpenID Connect ou encore une refonte de l’interface.
Le langage Rust et son écosystème ont désormais un ingénieur sécurité résident. Le contrat prévoit pour l’instant qu’il reste six mois, et davantage en fonction du financement. Cette embauche doit permettre la coordination et l’évolution de la sécurité au sein de l’écosystème Rust.
La fondation Rust est la structure créée en février 2021 pour gérer le développement et l’orientation du langage créé par Mozilla. Depuis, elle gère une Security Initiative destinée à protéger les parties de l’écosystème « qu’aucun mainteneur individuel ne peut raisonnablement couvrir seul » : modélisation des menaces pour crates.io (les crates sont des binaires ou des bibliothèques), signature de provenance des artefacts, publication de confiance, ou encore création d’outils comme Painter et Typomania pour cartographier les dépendances et détecter les typosquattages.
Comme l’indique la fondation dans un communiqué publié le 16 juin, l’ensemble est soutenu financièrement par des membres de la fondation (AWS est cité) et par Alpha-Omega, « une initiative inter-industrie qui finance des travaux de sécurité dédiés à travers les projets open source critiques ». C’est dans ce cadre et grâce à ces apports que la fondation annonce l’embauche d’un ingénieur à temps plein pour chapeauter la sécurité de Rust et de son écosystème.
L’impact de l’intelligence artificielle
Dans le communiqué d’Alpha-Omega publié le même jour, on peut lire que cette embauche découle d’un constat : les outils automatisés sont suffisamment puissants pour révéler les failles de sécurité à grande échelle. Plusieurs grands projets Rust ont ainsi reçu des signalements pour corriger de vraies vulnérabilités.
Cependant, le communiqué note aussi que ces outils génèrent un grand nombre de signalements qui peuvent être aussi plausibles qu’inutiles. Alpha-Omega évoque les heures perdues par les mainteneurs à trier ces informations. Une mention qui renvoie, une fois encore, à l’exemple de FFmpeg qui se plaignait du flot ininterrompu de signalements par des personnes n’ayant que peu d’expérience et incapables de voir si les informations envoyées étaient crédibles. Les signalements doivent cependant tous être analysés de peur de laisser passer une faille importante, avec une contrainte forte sur les petites équipes.
Un travail de synthèse et de lubrification
Le nouvel ingénieur, Jacob Finkelman, utilisera « un mélange de méthodes dirigées par l’humain et assistées par l’IA » pour examiner le langage Rust proprement dit et les crates sur lesquels l’écosystème s’appuie le plus. Il sera chargé de séparer le bon grain de l’ivraie : les vrais problèmes exploitables d’un côté, le reste à la poubelle, pour que seules des informations utiles soient envoyées aux mainteneurs.
Jacob Finkleman est un ingénieur logiciel plus connu sous le pseudonyme Eh2406. Il a commencé à utiliser Rust en 2015 et fait partie de l’équipe Cargo de Rust depuis 2018. Il est également le mainteneur de pubgrub-rs, un résolveur de dépendances qui alimente notamment uv, un gestionnaire de paquets et projets Python (écrit en Rust). « Sa connaissance du graphe de dépendances des crates le positionne idéalement pour travailler sur les risques liés à la chaîne d’approvisionnement logicielle », indique la fondation Rust.
Le travail s’effectuera en collaboration avec « les pairs d’autres écosystèmes » et le SRWG (Security Response Working Group) de Rust. Tout ce petit monde devra se concerter pour évaluer rapidement la gravité du contexte et aider autant que possible au développement rapide des correctifs. Cette équipe réduite devra en outre coordonner la divulgation et la publication responsables des informations. Elle servira aussi de guichet unique pour les rapports entrants, « y compris ceux arrivant via des initiatives comme le Project Glasswing », et d’intermédiaire entre chercheurs et mainteneurs quand des situations urgentes se produisent.
Au vu de l’attraction dont jouit Rust depuis plusieurs années et son utilisation plus intensive dans les projets commerciaux (y compris chez Microsoft et Google qui l’utilisent en programmation système), l’écosystème a de quoi se réjouir.
Cette embauche n’est cependant pas définitive. La fondation précise que ce nouveau poste sera à temps plein pour six mois et la suite dépendra de plusieurs facteurs, selon ce que les personnes impliquées « apprendront » et… les financements disponibles bien sûr.
En revanche, la fondation précise que tout ce travail donnera naissance à des méthodes, manuels et consignes qui seront dûment documentés « pour que le travail ne s’arrête pas avec le contrat ». Les outils et pratiques seront partagés avec d’autres écosystèmes, en particulier ceux ayant aussi reçu un financement d’Alpha-Omega, comme la fondation PHP et la Drupal Association.
Enfin, la fondation invite les mainteneurs de crates largement utilisés à la contacter pour être pris en compte dans le cadre de cette initiative de sécurisation.
Le langage Rust et son écosystème ont désormais un ingénieur sécurité résident. Le contrat prévoit pour l’instant qu’il reste six mois, et davantage en fonction du financement. Cette embauche doit permettre la coordination et l’évolution de la sécurité au sein de l’écosystème Rust.
La fondation Rust est la structure créée en février 2021 pour gérer le développement et l’orientation du langage créé par Mozilla. Depuis, elle gère une Security Initiative destinée à protéger les parties de l’écosystème « qu’aucun mainteneur individuel ne peut raisonnablement couvrir seul » : modélisation des menaces pour crates.io (les crates sont des binaires ou des bibliothèques), signature de provenance des artefacts, publication de confiance, ou encore création d’outils comme Painter et Typomania pour cartographier les dépendances et détecter les typosquattages.
Comme l’indique la fondation dans un communiqué publié le 16 juin, l’ensemble est soutenu financièrement par des membres de la fondation (AWS est cité) et par Alpha-Omega, « une initiative inter-industrie qui finance des travaux de sécurité dédiés à travers les projets open source critiques ». C’est dans ce cadre et grâce à ces apports que la fondation annonce l’embauche d’un ingénieur à temps plein pour chapeauter la sécurité de Rust et de son écosystème.
L’impact de l’intelligence artificielle
Dans le communiqué d’Alpha-Omega publié le même jour, on peut lire que cette embauche découle d’un constat : les outils automatisés sont suffisamment puissants pour révéler les failles de sécurité à grande échelle. Plusieurs grands projets Rust ont ainsi reçu des signalements pour corriger de vraies vulnérabilités.
Cependant, le communiqué note aussi que ces outils génèrent un grand nombre de signalements qui peuvent être aussi plausibles qu’inutiles. Alpha-Omega évoque les heures perdues par les mainteneurs à trier ces informations. Une mention qui renvoie, une fois encore, à l’exemple de FFmpeg qui se plaignait du flot ininterrompu de signalements par des personnes n’ayant que peu d’expérience et incapables de voir si les informations envoyées étaient crédibles. Les signalements doivent cependant tous être analysés de peur de laisser passer une faille importante, avec une contrainte forte sur les petites équipes.
Un travail de synthèse et de lubrification
Le nouvel ingénieur, Jacob Finkelman, utilisera « un mélange de méthodes dirigées par l’humain et assistées par l’IA » pour examiner le langage Rust proprement dit et les crates sur lesquels l’écosystème s’appuie le plus. Il sera chargé de séparer le bon grain de l’ivraie : les vrais problèmes exploitables d’un côté, le reste à la poubelle, pour que seules des informations utiles soient envoyées aux mainteneurs.
Jacob Finkleman est un ingénieur logiciel plus connu sous le pseudonyme Eh2406. Il a commencé à utiliser Rust en 2015 et fait partie de l’équipe Cargo de Rust depuis 2018. Il est également le mainteneur de pubgrub-rs, un résolveur de dépendances qui alimente notamment uv, un gestionnaire de paquets et projets Python (écrit en Rust). « Sa connaissance du graphe de dépendances des crates le positionne idéalement pour travailler sur les risques liés à la chaîne d’approvisionnement logicielle », indique la fondation Rust.
Le travail s’effectuera en collaboration avec « les pairs d’autres écosystèmes » et le SRWG (Security Response Working Group) de Rust. Tout ce petit monde devra se concerter pour évaluer rapidement la gravité du contexte et aider autant que possible au développement rapide des correctifs. Cette équipe réduite devra en outre coordonner la divulgation et la publication responsables des informations. Elle servira aussi de guichet unique pour les rapports entrants, « y compris ceux arrivant via des initiatives comme le Project Glasswing », et d’intermédiaire entre chercheurs et mainteneurs quand des situations urgentes se produisent.
Au vu de l’attraction dont jouit Rust depuis plusieurs années et son utilisation plus intensive dans les projets commerciaux (y compris chez Microsoft et Google qui l’utilisent en programmation système), l’écosystème a de quoi se réjouir.
Cette embauche n’est cependant pas définitive. La fondation précise que ce nouveau poste sera à temps plein pour six mois et la suite dépendra de plusieurs facteurs, selon ce que les personnes impliquées « apprendront » et… les financements disponibles bien sûr.
En revanche, la fondation précise que tout ce travail donnera naissance à des méthodes, manuels et consignes qui seront dûment documentés « pour que le travail ne s’arrête pas avec le contrat ». Les outils et pratiques seront partagés avec d’autres écosystèmes, en particulier ceux ayant aussi reçu un financement d’Alpha-Omega, comme la fondation PHP et la Drupal Association.
Enfin, la fondation invite les mainteneurs de crates largement utilisés à la contacter pour être pris en compte dans le cadre de cette initiative de sécurisation.
OpenAI étend le front de guerre sur la cybersécurité avec une extension de son programme Daybreak. L’entreprise a fait plusieurs annonces, dont le lancement d’une version finale pour son modèle dédié GPT-5.5-Cyber et l’initiative Patch the Planet destinée au monde de l’open source.
En mai, OpenAI lançait Daybreak, une plateforme de cybersécurité conçue pour rassembler tous les produits et services de l’entreprise dans ce domaine. On y trouvait notamment trois modèles combinés à Codex Security : le GPT-5.5 classique, le même avec l’option Trusted Access for Cyber (TAC) et GPT-5.5-Cyber, alors en préversion. Plus on grimpe dans les modèles, plus l’outil se veut puissant, et plus les vérifications sont importantes.
Ce 22 juin, OpenAI a annoncé une importante extension de sa plateforme et veut clairement doubler Anthropic sur le devant de la scène.
Un GPT-5.5-Cyber mis à jour
On commence avec une nouvelle version du modèle GPT-5.5-Cyber, qu’OpenAI décrit bien sûr comme plus puissante. Il est présenté par l’entreprise comme le plus puissant et le plus permissif « pour des travaux avancés et autorisés en cybersécurité ».
« C’est notre modèle le plus solide à ce jour pour trouver et aider à corriger les vulnérabilités logicielles, tout en conservant l’intelligence polyvalente de GPT-5.5 et sa capacité à travailler sur des tâches longues et complexes », affirme OpenAI.
L’analyse se veut notamment plus profonde sur les grandes bases de code. Selon OpenAI, GPT-5.5-Cyber peut identifier les composants importants pour la sécurité, trouver le code vulnérable, identifier et valider les problèmes probables dans des environnements contrôlés, développer et tester des correctifs, ou encore préparer des preuves pour des examens humains.
Pour l’entreprise, il n’est plus question de seulement détecter les problèmes, mais d’aider les développeurs à « traverser toute la boucle de remédiation ». En clair, faciliter l’intégralité du processus allant de la détection à la correction.
OpenAI aligne évidemment des scores issus de benchmarks. Sur CyberGym (qui mesure la capacité d’un agent à reproduire des vulnérabilités connues dans des environnements logiciels), GPT-5.5-Cyber a obtenu 85,6 %, contre 81,8 % pour GPT-5.5 classique, mais surtout contre 83,6 % pour Mythos 5. OpenAI n’évoque pas le grand concurrent dans son communiqué, mais le score apparaît quand même dans un tableau. Sur deux autres benchmarks, ExploitGym et SEC Bench Pro, GPT-5.5-Cyber obtient respectivement 39,5 % et 69,8 %, contre 29,95 % et 63,1 % pour GPT-5.5. Pas question de modèles concurrents cette fois.
La société indique dialoguer avec le gouvernement américain sur son approche cyber. Elle déclare travailler en collaboration avec le Center for AI Standards and Innovation (CAISI) sur les tests préalables au déploiement de GPT-5.5 et 5.5-Cyber, avec le Bureau du Directeur national de la cybersécurité (ONCD) et avec l’Office de la politique scientifique et technologique (OSTP) sur la mise en œuvre du décret présidentiel du 2 juin sur l’IA.
OpenAI ajoute que la combinaison GPT-5.5 avec Trusted Access for Cyber et Codex Security constitue un « bon point de départ ». Le duo a aidé à identifier et à valider des failles dans diverses bases de code, dont Firefox, V8, Safari, OpenBSD, FreeBSD et les implémentations HTTP/2.
Quant à GPT-5.5-Cyber, il est destiné « aux défenseurs vérifiés dont le travail autorisé nécessite nos capacités cyber les plus avancées et un comportement plus permissif, associé à une vérification, un suivi, des contrôles et une révision plus stricts ». En d’autres termes, le même type d’acceptation sur dossier que pour Mythos chez Anthropic.
Patch the Planet : l’offensive sur l’open source
Autre initiative d’OpenAI, particulièrement intéressante celle-là : Patch the Planet. Créée avec Trail of Bits et en partenariat avec plusieurs structures comme HackerOne, elle vise à financer des chercheurs en sécurité reconnus et à les équiper avec Codec Security pour travailler directement avec les mainteneurs de code open source.
OpenAI cite une étude de la Linux Foundation et d’Harvard selon laquelle 94 % des projets open source les plus utilisés ont moins de dix personnes responsables de plus de 90 % du code ajouté sur une année. « Les logiciels open source alimentent des produits, des services publics, des outils pour développeurs et des infrastructures critiques à travers les secteurs. Une vulnérabilité dans une bibliothèque réseau largement utilisée peut affecter des milliers de systèmes en aval », déclare OpenAI.
Le processus suit un cheminement spécifique : une consultation entre les chercheurs et les mainteneurs, la définition par ces derniers des priorités et préférences, puis la prise en charge par les chercheurs du travail. Ce dernier comprend la validation et la déduplication des vulnérabilités et correctifs avant qu’ils atteignent les mainteneurs, réduisant d’autant leur charge.
« Les projets participants reçoivent ChatGPT Pro, un accès conditionnel à Codex Security, ainsi que des crédits API pour le développement principal, l’automatisation des mainteneurs et les flux de travail de publication », ajoute OpenAI. Pour plusieurs projets, le « sprint initial » (5 jours) aurait montré des centaines de problèmes. Des dizaines de correctifs auraient été fusionnés avec d’autres en cours. Trail of Bits a également publié un communiqué sur le sujet.
Reste à voir maintenant si l’initiative tiendra ses promesses et si les conditions d’accès ou encore les crédits seront modifiés par la suite. OpenAI frappe en tout cas là où de gros problèmes ont été révélés ces dernières années, notamment le manque de financement, de mainteneurs et la gestion de la sécurité. On se souvient aussi que l’IA a un impact négatif sur les mainteneurs, le nombre de signalements augmentant drastiquement, comme s’en était plainte l’équipe de FFmpeg.
OpenAI annonce également des collaborations « étroites » avec des gouvernements et institutions du monde entier, avec l’objectif de renforcer leur niveau de cybersécurité. Courant mai, la France a ainsi obtenu un partenariat pour GPT-5.5 avec Trusted Access for Cyber, de même que l’Australie, le Canada, l’Allemagne, le Japon, la République de Corée et des institutions européennes comme l’ENISA, l’agence de cybersécurité de l’Union.
La question de la souveraineté n’est pas abordée par OpenAI. Mi-mai, cette facette a été directement mise en avant par Mistral, via son CEO Arthur Mensch, qui accusait notamment Anthropic – sans le nommer – de verser dans le « marketing de la peur ». Le message de l’entreprise française était clair : « Vous ne pouvez pas avoir les bases de données et le code de l’armée française scannés par Mythos. Ça crée une dépendance tellement irrémédiable qu’il faut absolument trouver des solutions ». Et Mistral a assuré qu’elle en aurait bientôt à proposer.
Cette question se pose d’autant plus que les ambitions d’OpenAI sont claires. Parmi les annonces du 22 juin, la société indique ainsi qu’elle va travailler directement avec des « opérateurs éligibles d’infrastructures critiques, y compris les réseaux gouvernementaux ». OpenAI veut être en mesure de proposer des « garanties adaptées » et devenir ainsi un acteur incontournable de la cybersécurité. Incontournable probablement au point que l’industrie logicielle ne pourra bientôt plus se passer de l’IA pour la recherche et la correction de failles de sécurité.
OpenAI étend le front de guerre sur la cybersécurité avec une extension de son programme Daybreak. L’entreprise a fait plusieurs annonces, dont le lancement d’une version finale pour son modèle dédié GPT-5.5-Cyber et l’initiative Patch the Planet destinée au monde de l’open source.
En mai, OpenAI lançait Daybreak, une plateforme de cybersécurité conçue pour rassembler tous les produits et services de l’entreprise dans ce domaine. On y trouvait notamment trois modèles combinés à Codex Security : le GPT-5.5 classique, le même avec l’option Trusted Access for Cyber (TAC) et GPT-5.5-Cyber, alors en préversion. Plus on grimpe dans les modèles, plus l’outil se veut puissant, et plus les vérifications sont importantes.
Ce 22 juin, OpenAI a annoncé une importante extension de sa plateforme et veut clairement doubler Anthropic sur le devant de la scène.
Un GPT-5.5-Cyber mis à jour
On commence avec une nouvelle version du modèle GPT-5.5-Cyber, qu’OpenAI décrit bien sûr comme plus puissante. Il est présenté par l’entreprise comme le plus puissant et le plus permissif « pour des travaux avancés et autorisés en cybersécurité ».
« C’est notre modèle le plus solide à ce jour pour trouver et aider à corriger les vulnérabilités logicielles, tout en conservant l’intelligence polyvalente de GPT-5.5 et sa capacité à travailler sur des tâches longues et complexes », affirme OpenAI.
L’analyse se veut notamment plus profonde sur les grandes bases de code. Selon OpenAI, GPT-5.5-Cyber peut identifier les composants importants pour la sécurité, trouver le code vulnérable, identifier et valider les problèmes probables dans des environnements contrôlés, développer et tester des correctifs, ou encore préparer des preuves pour des examens humains.
Pour l’entreprise, il n’est plus question de seulement détecter les problèmes, mais d’aider les développeurs à « traverser toute la boucle de remédiation ». En clair, faciliter l’intégralité du processus allant de la détection à la correction.
OpenAI aligne évidemment des scores issus de benchmarks. Sur CyberGym (qui mesure la capacité d’un agent à reproduire des vulnérabilités connues dans des environnements logiciels), GPT-5.5-Cyber a obtenu 85,6 %, contre 81,8 % pour GPT-5.5 classique, mais surtout contre 83,6 % pour Mythos 5. OpenAI n’évoque pas le grand concurrent dans son communiqué, mais le score apparaît quand même dans un tableau. Sur deux autres benchmarks, ExploitGym et SEC Bench Pro, GPT-5.5-Cyber obtient respectivement 39,5 % et 69,8 %, contre 29,95 % et 63,1 % pour GPT-5.5. Pas question de modèles concurrents cette fois.
La société indique dialoguer avec le gouvernement américain sur son approche cyber. Elle déclare travailler en collaboration avec le Center for AI Standards and Innovation (CAISI) sur les tests préalables au déploiement de GPT-5.5 et 5.5-Cyber, avec le Bureau du Directeur national de la cybersécurité (ONCD) et avec l’Office de la politique scientifique et technologique (OSTP) sur la mise en œuvre du décret présidentiel du 2 juin sur l’IA.
OpenAI ajoute que la combinaison GPT-5.5 avec Trusted Access for Cyber et Codex Security constitue un « bon point de départ ». Le duo a aidé à identifier et à valider des failles dans diverses bases de code, dont Firefox, V8, Safari, OpenBSD, FreeBSD et les implémentations HTTP/2.
Quant à GPT-5.5-Cyber, il est destiné « aux défenseurs vérifiés dont le travail autorisé nécessite nos capacités cyber les plus avancées et un comportement plus permissif, associé à une vérification, un suivi, des contrôles et une révision plus stricts ». En d’autres termes, le même type d’acceptation sur dossier que pour Mythos chez Anthropic.
Patch the Planet : l’offensive sur l’open source
Autre initiative d’OpenAI, particulièrement intéressante celle-là : Patch the Planet. Créée avec Trail of Bits et en partenariat avec plusieurs structures comme HackerOne, elle vise à financer des chercheurs en sécurité reconnus et à les équiper avec Codec Security pour travailler directement avec les mainteneurs de code open source.
OpenAI cite une étude de la Linux Foundation et d’Harvard selon laquelle 94 % des projets open source les plus utilisés ont moins de dix personnes responsables de plus de 90 % du code ajouté sur une année. « Les logiciels open source alimentent des produits, des services publics, des outils pour développeurs et des infrastructures critiques à travers les secteurs. Une vulnérabilité dans une bibliothèque réseau largement utilisée peut affecter des milliers de systèmes en aval », déclare OpenAI.
Le processus suit un cheminement spécifique : une consultation entre les chercheurs et les mainteneurs, la définition par ces derniers des priorités et préférences, puis la prise en charge par les chercheurs du travail. Ce dernier comprend la validation et la déduplication des vulnérabilités et correctifs avant qu’ils atteignent les mainteneurs, réduisant d’autant leur charge.
« Les projets participants reçoivent ChatGPT Pro, un accès conditionnel à Codex Security, ainsi que des crédits API pour le développement principal, l’automatisation des mainteneurs et les flux de travail de publication », ajoute OpenAI. Pour plusieurs projets, le « sprint initial » (5 jours) aurait montré des centaines de problèmes. Des dizaines de correctifs auraient été fusionnés avec d’autres en cours. Trail of Bits a également publié un communiqué sur le sujet.
Reste à voir maintenant si l’initiative tiendra ses promesses et si les conditions d’accès ou encore les crédits seront modifiés par la suite. OpenAI frappe en tout cas là où de gros problèmes ont été révélés ces dernières années, notamment le manque de financement, de mainteneurs et la gestion de la sécurité. On se souvient aussi que l’IA a un impact négatif sur les mainteneurs, le nombre de signalements augmentant drastiquement, comme s’en était plainte l’équipe de FFmpeg.
OpenAI annonce également des collaborations « étroites » avec des gouvernements et institutions du monde entier, avec l’objectif de renforcer leur niveau de cybersécurité. Courant mai, la France a ainsi obtenu un partenariat pour GPT-5.5 avec Trusted Access for Cyber, de même que l’Australie, le Canada, l’Allemagne, le Japon, la République de Corée et des institutions européennes comme l’ENISA, l’agence de cybersécurité de l’Union.
La question de la souveraineté n’est pas abordée par OpenAI. Mi-mai, cette facette a été directement mise en avant par Mistral, via son CEO Arthur Mensch, qui accusait notamment Anthropic – sans le nommer – de verser dans le « marketing de la peur ». Le message de l’entreprise française était clair : « Vous ne pouvez pas avoir les bases de données et le code de l’armée française scannés par Mythos. Ça crée une dépendance tellement irrémédiable qu’il faut absolument trouver des solutions ». Et Mistral a assuré qu’elle en aurait bientôt à proposer.
Cette question se pose d’autant plus que les ambitions d’OpenAI sont claires. Parmi les annonces du 22 juin, la société indique ainsi qu’elle va travailler directement avec des « opérateurs éligibles d’infrastructures critiques, y compris les réseaux gouvernementaux ». OpenAI veut être en mesure de proposer des « garanties adaptées » et devenir ainsi un acteur incontournable de la cybersécurité. Incontournable probablement au point que l’industrie logicielle ne pourra bientôt plus se passer de l’IA pour la recherche et la correction de failles de sécurité.
Connexion
