Connexion
À l’image de l’industrie occidentale du jeu vidéo, la situation en France est très difficile. Deux représentants hexagonaux du secteur, Arkane et Don’t Nod, pourraient en faire les frais.
Le sort d’Arkane et de ses 217 salariés pourrait être scellé le 13 novembre, rapporte Le Monde. C’est en effet la date de fin de la consultation du comité social et économique (CSE), un processus engagé cet été par Microsoft, propriétaire du studio depuis son acquisition du groupe ZeniMax (Bethesda, id Software, Obsidian) en 2021. Dans la foulée, un plan de sauvegarde de l’emploi (PSE) a été lancé.
Le 6 juillet, Asha Sharma, la directrice générale de Xbox, avait lancé le « reset » de la division gaming de Microsoft : 3 200 postes supprimés (la moitié immédiatement), et cinq studios abandonnés dont Arkane, basé à Lyon. La législation oblige les grandes entreprises (plus de 1 000 salariés) à rechercher un repreneur avant de fermer un site entraînant un licenciement collectif. Elle ne contraint pas pour autant le groupe à céder le site, ici en l’occurrence le studio.
D’après un délégué syndical interrogé par Le Monde, les négociations sur le PSE se passent mal. Microsoft continue « d’explorer différentes options » pour Arkane, et assure rechercher « un partenaire pour accompagner la prochaine phase de développement et permettre la commercialisation du projet ». Le Syndicat des travailleurs et travailleuses du jeu vidéo (STJV) espère gagner du temps et prolonger les négociations au-delà du 13 novembre.
Arkane est un studio qui compte dans l’industrie mondiale. Fondé en 1999, on lui doit des hits comme Deathloop et la saga Dishonored. La branche américaine installée à Austin avait déjà subi le coup de hache de Microsoft en 2024. Arkane Lyon planche sur un jeu Marvel basé sur le superhéros Blade depuis 2022 ; le développement, qui serait « plutôt sur la fin » selon le responsable syndical, pourrait attirer un repreneur.
Don’t Nod n’est pas mieux loti. Le studio parisien a annoncé l’ouverture d’une procédure de sauvegarde auprès du tribunal des activités économiques de Paris. « Notre niveau actuel de trésorerie ne nous permet pas de sécuriser dans des conditions satisfaisantes l’ensemble des besoins de financement associés à nos activités et à nos projets », explique Oskar Guilbert, PDG de l’entreprise.
Dans ce contexte, « la demande d’ouverture d’une procédure de sauvegarde constitue une démarche d’anticipation et de protection ». Le processus doit donner du temps pour « construire une solution durable », en permettant la poursuite des activités du studio. Le chiffre d’affaires au premier semestre a plongé de 14 %, avec un EBITDA dans le rouge de 4,3 millions (2,3 millions de plus par rapport au premier semestre 2025). Le studio, qui compte 85 salariés en France, est le créateur de Life is Strange. Son dernier jeu, Aphelion, n’a pas connu le succès escompté.
Dans son projet de loi de finances, le gouvernement de Sébastien Lecornu a prévu de baisser drastiquement le budget que l’État allouait à l’inclusion numérique. Les associations qui accompagnaient notamment les personnes âgées dans la prise en main du numérique sont en danger.
Le projet de loi de finances 2027 présenté par le premier ministre Sébastien Lecornu prévoit de réduire à 3 millions d’euros le budget alloué à l’inclusion numérique. Il était déjà passé d’environ 40 millions d’euros en 2025 à 14 millions d’euros en 2026. Cette baisse signifierait la suppression de quasiment tous les postes de conseillers numériques des diverses associations installées sur le territoire français.
Dans son projet de loi, le gouvernement projette de baisser fortement le budget du Programme 343 intitulé « Plan France Très haut débit ». Celui-ci a été notamment mis en place pour assurer la transition du cuivre vers la fibre optique, mais aussi pour « rapprocher les personnes les plus fragiles vers les nouveaux usages du numérique en portant une politique d’inclusion numérique ». Dans l’annexe de son projet de loi concernant ce programme [PDF], le gouvernement prévoit que le budget consacré à l’inclusion numérique soit fixé à 3 millions d’euros pour 2027.
Cette baisse est particulièrement préoccupante car ces financements permettaient à des associations sur tout le territoire de mettre à disposition des citoyens des conseillers numériques via un dispositif national créé en 2021. Ils peuvent accompagner, par exemple, des personnes âgées pour la prise en main de leurs appareils, mais aussi pour résoudre un besoin administratif immédiat. Rappelons que l’accès aux services publics numériques reste un casse-tête pour une grande partie des Français. Selon les associations comme Avicca ou Les Interconnectés rassemblées dans un groupement appelé La Belle alliance, cela représenterait près de 3 000 postes de conseillers menacés.
L’annexe du projet de loi de finances en question explique sobrement que, « dans un contexte de maîtrise des finances publiques, il a été décidé dès 2025 de réduire progressivement les financements de l’État dans ce dispositif, les conseillers France Service assurant toujours l’accompagnement aux démarches administratives ».
« Nous alertons les autorités sur ce problème depuis des mois, mais elles ne veulent rien savoir, se désole Luc Derriano, chargé de mission à l’Avicca, une association d’élus engagés dans l’aménagement numérique de leur territoire auprès de Que Choisir. « Toutes les solutions concrètes que nous avons proposées pour maintenir ce financement ont été balayées d’un revers de la main par le ministère de l’Économie. »
La Belle Alliance demandait en septembre dans un communiqué une prise en charge par l’État de 115 millions d’euros par an, l’articulation de l’accompagnement humain que les associations apportent avec les maisons France Services et l’ouverture de concertation d’urgence.
« Les points évoqués avec la ministre rejoignent des discussions déjà tenues depuis des mois, sur lesquelles les associations ont exprimé leur accord, mais il manque la mise en place et les moyens de financement », affirmait Céline Colucci, déléguée générale des Interconnectés, à Acteurs Publics après un rendez-vous avec la ministre du Numérique Anne Le Hénanff mi-septembre.
Côté députés, certains essaient de trouver des moyens pour financer ce dispositif. Ainsi le député socialiste Jacques Oberti a déposé un amendement proposant de relever le tarif de l’imposition forfaitaire sur les entreprises de réseau afin de financer l’inclusion numérique. Mais il a été rejeté par la Commission des finances.
Capcom, l’éditeur japonais de jeux comme Street Fighter, Monster Hunter, Resident Evil ou encore Mega Man (et bien d’autres), a été victime d’un vol de données. L’entreprise a détecté le 19 octobre une « activité suspecte » ayant débouché sur un accès non autorisé à la base de données de Capcom ID. Il s’agit de comptes servant à accéder aux services en ligne de Capcom, et dont la création peut être obligatoire pour pouvoir jouer à certains titres.
Dès la découverte de la brèche, la société a bloqué l’accès à la base et lancé des mesures d’urgence pour identifier la méthode d’attaque. Capcom confirme que des informations de joueurs enregistrés avec un ID maison ont été subtilisées. Plus de 11 millions d’adresses e-mail et d’informations propres au système (date et heure de création du compte, nombre de connexions, adresses IP) sont dans la nature. Plus anecdotique, 43 enregistrements de dates de naissance, genres, pays et pseudos ainsi que 196 modifications non autorisées de mots de passe ont été comptabilisés dans la fuite.
Les mots de passe de ces comptes ont déjà été réinitialisés. Capcom ne confirme pour le reste « aucune compromission des mots de passe de connexion aux comptes Capcom ID initialement définis par les utilisateurs eux-mêmes. » Les informations bancaires des utilisateurs ne font pas partie des données volées.
Les utilisateurs de ces comptes ont été notifiés de l’incident par l’entreprise. Des formulaires de demandes d’assistance ont été mises en ligne (ici pour l’Europe). Capcom prévient que les informations en fuite peuvent être exploitées dans des campagnes de hameçonnage. Elle recommande de « faire preuve de prudence » et de ne pas cliquer sur les liens ou les pièces jointes contenus dans des courriels suspects qui pourraient usurper l’identité de Capcom.
Signal a corrigé dans RingRTC, sa bibliothèque d’appels, une faille qui empêchait le raccrochage de clore réellement l’appel. Le correctif date du 4 septembre, mais la divulgation publique n’est intervenue que le 20 octobre 2026.
La faille est estampillée CVE-2026-113380 et réside donc dans RingRTC, la bibliothèque logicielle créée par Signal (en open source) responsable des appels vocaux et vidéo. Elle affecte toutes les versions antérieures à la 2.72.0 et est critique, avec un score CVSS v4.0 de 9,3 sur 10.
Avec une version vulnérable, un pirate peut exploiter la faille en saturant la file d’attente de la machine à états finis (FSM) d’un appel pour empêcher le raccrochage local de démonter l’appel. Selon les cas, cela signifie que la piste audio, voire vidéo, continue. Le chiffrement de bout en bout n’est pas affecté, car le défaut porte sur la fermeture de l’appel, pas sur la protection des conversations.
Selon les notes du chercheur a priori à l’origine de la découverte, trois problèmes se cumulent, comme relevé par SecurityWeek. Ils sont loin d’être anodins :
Le correctif du 4 septembre ajoute ainsi un indicateur de terminaison séparé, avec sa propre priorité, et limite à 5 secondes les attentes lors de l’arrêt pour que le nettoyage continue même si certaines opérations échouent.
Cependant, la situation sur les nouvelles versions des différentes applications n’est pas claire. On ignore quand le correctif a été déployé, ni même s’il a bien été distribué. Nous avons contacté la fondation Signal et mettrons à jour cet article en cas de réponse.
Un jailbreak de la Switch 2 est en approche. En exploitant une série de failles, un bidouilleur est parvenu à exécuter du code dans le système de la console de Nintendo. Voilà qui ouvre la porte aux homebrews et à la modification de jeux, même si l’opération demeure complexe et que Nintendo veille au grain.
16 mois après son lancement, voici que déboule ce qui ressemble fort au premier jailbreak de la Switch 2. Sammy Hajhamid est parvenu à modifier Mario Kart World en y intégrant des pilotes inédits comme Peter Griffin, le patriarche de la série animée Family Guy, Red d’Angry Birds ou encore Hatsune Miku. Un exploit rendu possible par une bidouille qu’il décrit sur son blog.
Le jailbreak passe par l’application SmileBASIC, qui permet d’exécuter des programmes BASIC sur la Switch 2 en tout bien tout honneur. Mais une erreur de calcul sur des entiers de 32 bits dans une commande permet de lire et de modifier de la mémoire en dehors des limites prévues.
Sammy Hajhamid a ensuite tiré partie d’une erreur dans le traitement des chemins du service qui s’occupe des systèmes de fichiers de la console. En l’occurrence, il s’agit d’un tampon temporaire trop petit permettant de lire et d’écrire dans la mémoire du service en question. Ça ne suffit pas pour exécuter de nouvelles instructions, mais on s’en approche.
En modifiant la mémoire de ce service, il devient possible de lui faire fournir un autre exécutable que celui attendu, tout en conservant les métadonnées authentiques du programme d’origine. Les vérifications de signature passent donc, mais le code chargé a été remplacé : le mécanisme de confiance est contourné. Le bidouilleur peut désormais exécuter son propre code avec les permissions d’un service système, puis s’en servir pour modifier le code du service de fichiers lui-même.
Le dépôt GitLab du bidouilleur permet de tester soi-même l’opération, pour peu qu’on dispose de SmileBASIC… qui n’est plus distribué dans l’eShop. Rien n’a été confirmé, mais il n’est pas interdit de penser que Nintendo est derrière le retrait précipité de cette application. L’histoire repasse ici les plats, puisque SmileBASIC avait déjà été utilisé pour des homebrews sur la 3DS.
Le tout a demandé deux semaines de travail au hacker, armé de Codex et d’un actionneur Bluetooth faisant office d’interrupteur : il appuyait sur le bouton d’alimentation de la console quand c’était nécessaire ! Ce jailbreak fonctionne avec la dernière version du système d’exploitation de la Switch 2 (23.0.1), mais il a une limite importante : il nécessite un ordinateur pour l’installer, et il doit être relancé après le redémarrage de l’appareil.
Malgré tout, c’est une première brèche qui pourrait ouvrir la voie à tout un monde de possibilités : des programmes homebrew, des mods, de l’ingénierie inverse et bien évidemment, des jeux piratés.
Il ne fait guère de doute que Nintendo regarde tout cela de très près, en ayant en tête ce qui s’était passé avec la Switch première du nom. Les premiers outils permettant d’exécuter des homebrews étaient apparus moins d’un an après son lancement, avant qu’une faille bien plus profonde ne facilite le développement des firmwares personnalisés et le piratage de jeux.
Partagée des millions de fois dans le monde entier et instrumentalisée par l’extrême droite, la photo d’un couple de 80 ans en sous-vêtements, soi-disant dépouillés par des casseurs (ce que dément le parquet de Paris), avait été générée par IA. Elle provient d’un site d’information figurant depuis plus d’un an et demi dans notre base de données de sites d’informations générés par IA.
Le week-end dernier, la photo (générée par IA) d’un « couple de 80 ans », prétendument agressé et dévêtu en pleine rue en marge des manifestations place de la République, à Paris, est devenue d’autant plus virale qu’elle a aussi été instrumentalisée par l’extrême droite, y compris à l’étranger. Les Observateurs (la rubrique de fact-checking de France 24) ont depuis découvert qu’elle émanait de l’un des sites d’information identifiés par Next comme étant en tout ou partie générés par IA (GenAI).
Le journaliste des Observateurs avait en effet installé l’extension web (gratuite) que Next a développée pour « flaguer » et afficher un message d’alerte lorsque les personnes qui l’utilisent consultent un site d’infos dont « la majeure partie des articles semble avoir été générée par IA, mais sans le préciser ».
Dans un second article, Les Observateurs relèvent que trois jours après les faits, infos-israel.news a finalement reconnu en être à l’origine et publié un correctif précisant qu’il « ne documente aucun fait avéré ». Le 21 octobre, le site a même diffusé un visuel expliquant comment il avait repris l’information de BFMTV. De plus et depuis le 23 octobre, les visuels de sa page Instagram sont également tous accompagnés de la mention : « Illustration générée par IA sans lien avec les faits », ce qui n’était pas le cas jusque là.
Le site en question, pro-israélien et relayant de nombreux narratifs d’extrême droite, avait par ailleurs déjà été épinglé en 2024 sur Facebook pour y avoir partagé de « fausses informations » laissant entendre (à tort) que l’extrême gauche mettait le feu à Paris.
Notre enquête au long cours sur les sites d’information générés par IA (GenAI), entamée il y a plus d’un an et demi, a d’ores et déjà permis d’identifier plus de 19 500 sites d’information GenAI (rien qu’en français), auxquels nous avons consacré près d’une soixantaine d’articles.
Nous avions d’ores et déjà documenté, plusieurs fois, le fait que ces sites d’infos générés par IA relaient et propulsent de fausses informations. Cette nouvelle désinformation, elle aussi « générée par IA », est cela dit la première qui illustre et démontre à ce point que ces articles et sites GenAI, qui polluent le web, servent aussi d’ « armes de désinformation massive ».
Elle contribue en effet à l’objectif politique que s’était fixé Steve Bannon, l’ex-conseiller de Donald Trump, pour qui « la véritable opposition, ce sont les médias », ce pourquoi il proposa que « la façon de les traiter est d’inonder la zone avec de la merde » (« Flood the zone with shit », en VO).
« Pour moi, c’est l’image la plus horrible de ce 17 octobre », soulignait le tweet, cumulant plus de 60 000 partages, 160 000 likes et vu plus de 6 millions de fois, qui a contribué à rendre l’image virale (sans préciser qu’elle avait été générée par IA). Posté depuis Israël par une militante d’extrême droite qui parle de « terroristes émeutiers », son message signalait en outre que « l’image devrait être un signal d’alarme pour tout l’occident […] L’image d’une gauche radicale qui a sacrifié votre propre identité pour faire de votre pays une zone de guerre. »
Il a depuis été relayé par de nombreuses personnalités d’extrême droite, de Sirènes (l’influenceur complotiste qui avait interviewé Thérèse, la starlette porno ayant soi-disant créé une crèche pour bébés reborn) à Alice Cordier, la présidente du collectif identitaire Némésis.
L’image a aussi été partagée par plusieurs figures internationales, comme l’islamophobe britannique Tommy Robinson ou le polonais ultraconservateur Visgegrad 24, le chef du parti d’extrême droite espagnol Vox Santiago Abascal, et jusqu’à C14, une chaîne de télévision israélienne accusée de discours génocidaires, sous le titre : « l’Islam conquiert l’Europe ».
Outre les Observateurs, plusieurs fact-checkeurs ont depuis retracé le cheminement de cette fake news, des Surligneurs à la rubrique Factuel de l’AFP en passant par la RTBF.
Consultant police-justice de BFM TV, Dominique Rizet y expliqua en direct ce samedi 17 octobre, aux alentours de 21 h « recevoir des messages de policiers qui me disent les gens victimes de pillage appellent au poste en pleurant, à Paris » :
« Je viens de lire – ce sont des informations de police – qu’un couple de 80 ans a été agressé à République, ils se sont fait dépouiller et se sont retrouvés quasiment nus place de la République. Et on va apprendre, dans les jours qui viennent, tout un tas de choses comme ça. »
Une séquence vidéo rapidement partagée par l’agrégateur d’infos d’extrême-droite Fdesouche.com (archive), qui avança à 22h10 sur X.com qu’ « un couple de 80 ans a eté depouillé de ses effets personnels ». Tout en y rajoutant le fait qu’il aurait aussi été « roué de coups et retrouvé nu dans la rue », ce que Dominique Rizet n’avait pas évoqué.
À 22h22, Infos-Israel.news partagea sur X.com et Instagram un photomontage évoquant « un couple de retraités dépouillé », illustré d’un photomontage estampillé « Made with AI » par X.com montrant deux personnages âgés, en sous-vêtements, dans la rue, entourés de deux individus noirs vêtus.
L’article associé indique aujourd’hui que ce photomontage est une « Illustration générée par IA, ne documente pas un fait avéré », mais ce n’était pas le cas lorsqu’elle avait pour la première fois été archivée. Accessoirement, les images générées par IA du couple de personnes âgées ne sont pas les mêmes sur le tweet et dans l’article.
CheckNews relevait dimanche dernier que l’image en question avait également été partagée par le syndicat des cadres de la sécurité intérieure (SCSI, historiquement majoritaire au sein du corps de commandement de la Police nationale – qui l’a depuis effacée). Mais aussi et surtout qu’elle avait été générée ou modifiée grâce à des outils d’IA, « comme l’indiquent plusieurs outils de détection de référence ».
La RTBF et la rubrique Factuel de l’AFP parvenaient au même constat, tout en relevant « plusieurs incohérences visuelles » :
« Malgré la qualité très dégradée de la photo, plusieurs incohérences visuelles interpellent : à gauche, deux personnes cagoulées font face à une femme, mais seule l’une de ces deux personnes a des jambes. A droite, la personne vêtue de noir ne semble avoir qu’une seule jambe et au centre, la main de la femme est déformée, notamment au niveau de son pouce. »
Ce lundi 19 octobre, soit quarante-huit heures après les faits présumés, le parquet de Paris assurait à CheckNews « ne pas [avoir] de remontées en ce sens à ce jour », tout en appelant « à la prudence » concernant des images censées documenter l’agression.
Les Observateurs relevaient de leur côté que le fait qu’ « on retrouve la bordure blanche qui sépare les images dans le montage d’Infos-Israel.news dans l’image qui a été partagée ces derniers jours » était le signe, voire la preuve, que l’image virale provenait bien du montage du média pro-israélien.
Ce mardi 20 octobre, Nathan Gallo, le journaliste de France 24 ayant fact-checké cette infox pour le compte des Observateurs, nous a contactés pour en savoir plus concernant l’ajout de ce site dans notre base de données. Il avait en effet constaté que notre extension GenAI « flaguant » les sites d’informations générés par IA s’était affichée lorsqu’il avait consulté infos-israel.news, ainsi que deux autres sites associés, rakbeisrael.buzz et alyaexpress-news.com.
Le gestionnaire de mots de passe 1Password ajoute une nouvelle corde à son arc. Dans un billet publié le 22 octobre, l’entreprise a présenté une nouvelle plateforme baptisée « 1Password for Agents » pour fluidifier l’utilisation des identifiants stockés dans la base, mais sans les voir.
Dans le scénario décrit par 1Password, un agent arrive sur un formulaire de connexion. Il interroge alors le gestionnaire de mots de passe, déclenchant une demande d’approbation par l’utilisateur. Si ce dernier confirme, 1Password remplit lui-même les champs d’identifiants, l’agent n’ayant pas accès à ces informations.
Pour réaliser l’opération, l’agent s’authentifie auprès de 1Password via une clé unique propre. Quand la connexion est faite, le gestionnaire supprime l’identifiant de la page pour que l’agent ne puisse jamais le voir ou le réutiliser. Dans le cas où plusieurs identifiants correspondent à un même formulaire, l’utilisateur est invité à choisir l’agent à utiliser. Ce dernier n’accède pas non plus au reste du coffre.
Ce mécanisme est clairement une évolution du complément 1Password for Claude lancé en juillet. Cette fois cependant, il s’agit d’une plateforme disposant d’intégrations pour Muse de Meta, Claude Duet d’Anthropic, ChatGPT Work et Dots d’OpenAI, Grok Bot de SpaceXSI (anciennement SpaceXAI, encore plus anciennement xAI) et Townie de Town. Selon les cas, la compatibilité est en cours de déploiement ou doit arriver « bientôt ». 1Password prévoit également l’intégration dans Instinct, Browserbase, Browser Use, Dana, KERNEL, Perplexity, Ramp, Tomo et Wajo.
1Password prévient toutefois que ce mécanisme ne sert qu’à protéger les identifiants, pas à contrôler l’agent lui-même. L’entreprise ne peut pas agir sur ce que l’agent fera avec ces identifiants, mais le problème était exactement le même en entrant manuellement les mots de passe pour réaliser une opération.
La fondation suisse qui fournit des services de DNS jette l’éponge en France après avoir été contrainte de bloquer des noms de domaine de sites de streaming sportifs dont BeIN Sports France avait les droits exclusifs.
Les internautes français ne pourront bientôt plus utiliser les serveurs DNS du fournisseur Quad9. En effet, après une décision de justice, l’entreprise suisse a annoncé ne pas pouvoir assurer son service correctement auprès de ses utilisateurs dans le monde tout en s’y conformant à long terme.
Ce n’est pas la première fois qu’un fournisseur de DNS prend une telle décision. En effet, en 2024, OpenDNS s’était résolu à arrêter de proposer ses services en France à cause d’une décision de justice similaire. À l’époque, l’entreprise américaine était en conflit avec Canal+.
Cette fois-ci, c’est BeIN Sports France qui incite la fondation suisse à suivre. Le 13 mai dernier [PDF], la chaîne de télévision sportive qatarie avait obtenu devant le Tribunal judiciaire de Paris l’ordre donné à Google et à Quad9 de bloquer, sur le territoire français, l’accès via leurs serveurs DNS respectifs à une liste de sites et services IPTV qui permettaient de regarder le tournoi de tennis féminin de la WTA. Cette décision prévoyait un blocage jusqu’à la fin du tournoi, c’est-à-dire jusqu’au 14 novembre prochain, et ce dans un délai de trois jours maximums suivant la signification de la décision.
Mais Quad9 ne s’y est pas plié et a fait appel. Problème, le jugement était revêtu d’une exécution provisoire. BeIN a relancé la procédure en septembre en faisant assigner la fondation suisse devant le même tribunal pour la forcer à appliquer la décision de justice prise en mai. Le jugement rendu ce 21 octobre (dont Quad9 diffuse la décision, PDF) a décidé d’une astreinte de 1 000 euros par jour de retard à compter du prononcé de la décision jusqu’à la fin du tournoi. BeIN Sports demandait « une astreinte de 10 000 euros par jour de retard et par nom de domaine ou sous-domaine demeurant accessible via les services de Quad9 », ce qui, selon la fondation, aurait donné un total de 580 000 € par jour.
Dans un billet de blog intitulé « Ce n’est qu’un au revoir, la France », Quad9 qualifie de « bonne nouvelle » le fait que le tribunal a « considérablement réduit » la pénalité financière. Elle annonce, cependant, qu’ « à compter du 24 novembre, Quad9 ne sera plus en mesure d’offrir son service gratuit de cyberprotection aux utilisateurs situés en France ». Pour la fondation suisse, la mise en conformité de la décision juridique française « est techniquement irréalisable, et son exécution contredit directement notre mandat d’intérêt public ».
Elle explique sa décision par son refus de mettre en place un dispositif qui altérait les réponses DNS : « Nous ne pouvons pas nous conformer à cette décision sur le long terme tout en restant fidèles à notre mission de protéger votre vie privée, de vous défendre contre les cybermenaces et de préserver l’intégrité d’Internet. Pour nous, la résolution DNS récursive est un service neutre et passif. Nous refusons catégoriquement d’altérer ou de vous mentir sur les réponses DNS que vous recevez contre vos attentes ».
Quad9 précise que son appel est toujours en cours et que « nous continuerons de défendre notre position devant les tribunaux dans cette affaire comme dans toutes celles que nos moyens permettront de mener ».
La Zero Day Initiative de Trend Micro a envoyé six rapports de failles de sécurité sur des listes de diffusion publiques du noyau Linux, avec de nombreux détails. Le caractère accidentel de ces publications est contesté. Le danger, bien que limité, est réel pour certaines configurations.
Les 21 et 22 octobre, six rapports de vulnérabilités ont été envoyés par Trend Micro sur des listes publiques rattachées au développement du noyau public. Plus précisément, ces rapports ont été adressés à la liste de sécurité privée du noyau, mais les listes publiques linux-kernel, linux-cifs, netdev et dri-devel figuraient en copie. Les détails techniques, avec les chemins de code et les traces KASAN, sont depuis publics alors qu’aucun correctif n’est encore publié.
Parmi les rapports, deux concernent des failles critiques dans ksmbd. La première, estampillée par Trend Micro ZDI-CAN-33774, réside dans une situation de compétition dans l’affectation de la table de traitement. Si l’on envoie une rafale de paquets SMB1 courts suivie d’un paquet SMB2 dans la même écriture TCP, les processus de travail traitent alors les données SMB1 avec un gestionnaire SMB2, qui va lire au-delà de la mémoire tampon. Une écriture hors limites devient ainsi possible, à condition que le pirate ait accès à un partage, mais aucune autorisation n’est nécessaire, expliquant le score CVSS de 9 sur 10.
L’autre faille, ZDI-CAN-33549, est un dépassement par le bas d’un entier (integer underflow) dans le chemin SMB Direct de ksmbd. Un client peut envoyer des descripteurs de tampon RDMA dont le premier est plus long que la charge annoncée. Le compteur de taille du serveur repasse alors par zéro et une copie mémoire déborde ensuite du tampon alloué. Pour l’exploitation en revanche, il faut réunir trois conditions : une interface compatible RDMA (matérielle ou le pilote logiciel rxe), un partage ksmbd accessible en écriture et un client qui négocie SMB Direct. À noter cependant que le support de SMB Direct est une option, désactivée par défaut. Le score CVSS est quand même de 9, confirmant la criticité de la brèche.
Ces notes sont attribuées via CVSS 3.1, le caractère critique débutant à 9. Trois autres failles – ZDI-CAN-33367, ZDI-CAN-34068 et ZDI-CAN-34076 – sont tout de même dans la tranche élevée, avec des notes comprises entre 7,8 et 8,8. Elles concernent respectivement une élévation locale de privilèges dans skb_zerocopy (réseau), une élévation locale de privilèges dans le pilote de GPU virtuel vmwgfx (VMware) et une divulgation d’informations dans nvmet (un pilote NVMe). La sixième faille, ZDI-CAN-32005, est un dépassement de pile (stack overflow) dans ConnMan, mais aucun score CVSS n’est rattaché.
Bien que le danger soit limité à certaines configurations spécifiques (ksmbd est un serveur compatible Samba mais n’est pas Samba), il est réel. Dans le contexte de publication de ces failles, il est probable qu’aucun correctif ne sera disponible avant plusieurs semaines.
Phoronix est le premier site à s’être rendu compte de ces publications. Pour nos confrères, il s’agissait clairement d’une bourde importante. D’ailleurs, Greg Kroah-Hartman en personne, le mainteneur principal du noyau Linux, s’est étonné et agacé dans des réponses à ces publications. Sur le pilote GPU VMware par exemple, il a répondu : « Pour une raison quelconque, vous avez envoyé cela dans des listes publiques, sans correctif, donc nous ne pouvons pas faire grand-chose avec ça ». L’agacement est monté d’un cran sur le rapport du pilote NMVe : « Encore une fois, pas de correctif, et envoyé sur une liste publique ? Merci de corriger votre processus de soumission… ».
Mais en dépit de ces réponses, certains médias s’interrogent : s’agissait-il vraiment d’un accident ? Cyber Kendra note ainsi que les rapports attribuent clairement la découverte des failles à TrendAI, le scanner IA de vulnérabilités de Trend Micro. Or, selon la documentation sur les failles de sécurité dans le noyau, réécrite et fusionnée pour le noyau Linux 7.1, indique que toute vulnérabilité trouvée grâce à l’IA doit être considérée comme publique et envoyée aux mainteneurs concernés plutôt que sur la liste privée.
Nos confrères rappellent que cette règle est une conséquence directe de l’agacement de Linus Torvalds sur le caractère « presque totalement ingérable » de la liste privée de sécurité depuis l’émergence des outils IA. Mais selon ces mêmes directives, les découvreurs de failles doivent joindre des correctifs ou des analyses d’impact. Les rapports de Trend Micro ne contenaient ni l’un ni l’autre, expliquant en partie l’agacement de Greg Kroah-Hartman.
The Hacker News évoque les mêmes règles et ne mentionne d’ailleurs jamais le caractère éventuellement accidentel de ces publications.
Nous avons contacté Trend Micro et mettrons à jour cette actualité si nous obtenons une réponse.
Sony avait dévoilé en 2000 les premiers prototypes des disques Blu-ray, et trois ans plus tard, le constructeur lançait le premier lecteur. Une grande histoire qui se termine discrètement : la dernière platine Blu-ray 4K signée Sony est en rupture de stock et elle ne sera pas réapprovisionnée.
Au terme d’une bataille homérique, le Blu-ray (soutenu par Sony, Panasonic, Pioneer ou encore Philips) a eu la peau du HD DVD quand son principal promoteur, Toshiba, a annoncé la fin de la production du format en 2008.
Le successeur du DVD n’a jamais connu le même succès, notamment parce que le dématérialisé (téléchargement et streaming) a fini par s’imposer dans les usages. Il reste malgré tout un marché de niche pour ce format physique que Sony entend bien enterrer, après avoir largement contribué à le faire naitre.
Le constructeur a ainsi cessé de vendre son dernier lecteur Blu-ray Ultra HD 4K, l’UBP-X700/K, au Japon. Kunkoku, un revendeur Sony, a annoncé que la commercialisation du produit cesserait le 22 octobre. Sur la boutique en ligne du constructeur, l’appareil est affiché en rupture de stock, sans réapprovisionnement prévu. Il n’y a pas eu de communiqué de presse ni de confirmation plus officielle, mais Kunkoku rappelle qu’il n’existe aucun successeur de ce modèle lancé en mai 2025.
La platine est toujours disponible en Europe, au prix de 290 euros environ, ainsi qu’aux États-Unis. Comme le rappelle FlatPanelsHD, cette rupture de stock au Japon pourrait bien précéder la fin des haricots partout ailleurs dans le monde pour ce modèle. En février, Sony annonçait déjà l’arrêt des enregistreurs de Blu-ray, en précisant au site AV Watch que la production de lecteurs Blu-ray Full HD (1080p) et de DVD se poursuivrait… mais jusqu’à quand ?
Tout n’est pas complètement perdu pour autant pour les amateurs de galettes 4K : la PS5 prend toujours en charge les Blu-ray UHD via son lecteur de disques (mais n’est malheureusement pas compatible Dolby Vision, contrairement à la platine en rupture de stock). Mais la PS6 pourrait bien faire une croix définitive sur le format, suite à l’annonce de Sony d’arrêter les supports physiques pour les jeux PlayStation en janvier 2028.
Panasonic continue vaille que vaille de commercialiser des lecteurs Blu-ray UHD, ainsi qu’une poignée de constructeurs chinois.
Alors qu’AWS vient de lancer son TorchNeuron pour permettre aux entreprises intéressées d’entrainer leurs modèles sur les puces maison Trainium, Google a fait une annonce similaire avec TorchTPU. Comme le nom l’indique, il s’agit cette fois d’orienter les calculs vers les puces TPU fournies par Google. Celle-ci met cependant en avant son partenariat avec Meta pour PyTorch.
Google propose désormais sa propre pile logicielle permettant d’exécuter PyTorch directement sur ses TPU, sans passer par une couche d’adaptation. L’annonce, faite durant la PyTorch Conference 2026, suit de près celle d’Amazon Web Services avec son TorchNeuron.
Rappelons que PyTorch est une bibliothèque permettant, entre autres, de construire et d’entrainer des modèles IA. Comme nous l’indiquions dans notre actualité sur TorchNeuron, PyTorch a besoin d’une couche intermédiaire pour traduire les opérations en instructions reconnues par le matériel. Dans la grande majorité des cas, cette couche est CUDA, une technologie propriétaire que NVIDIA travaille depuis longtemps pour s’assurer que tous types de calculs pourront être exécutés sur ses GPU.
Si l’objectif d’AWS avec TorchNeuron était de pouvoir rediriger ces calculs facilement vers ses puces Trainium, Google fait maintenant de même avec ses TPU.
Jusqu’à présent, pour exploiter ces puces dans le cloud de Google depuis PyTorch, il fallait passer par XLA, une solution que Google présente désormais comme peu naturelle. Le dépôt GitHub de XLA a d’ailleurs été mis à jour pour indiquer que le projet est à présent déprécié et remplacé par TorchTPU. Il sera archivé le 15 novembre, tout va donc aller très vite.
Le dépôt de TorchTPU est bien sûr déjà en ligne, le projet étant sous licence Apache 2.0 et donc open source. Deux modes d’exécution sont proposés. Le premier, eager, consiste à exécuter immédiatement le programme ligne par ligne, un cas jugé notamment utile pour chercher une erreur. Le second, torch.compile, analyse au contraire l’ensemble du programme avant de l’exécuter. TorchTPU permet de commencer avec le premier et de basculer dans le second si besoin.
Comme pour TorchNeuron, TorchTPU permet d’utiliser les puces de Google aussi bien pour l’entraînement que pour l’inférence. Google met largement en avant la compatibilité avec l’écosystème existant. TorchTitan, conçu pour répartir les calculs d’entraînement sur des milliers de puces, est par exemple de la partie. Selon Google, son fonctionnement a affiché une montée en charge linéaire jusqu’à 8 129 TPU. VeRL, pour l’apprentissage par renforcement, Ray, pour la répartition des étapes des chaînes de traitement, vLLM, un serveur faisant tourner les modèles de langage, ou encore SDLang et llm-d sont cités.
Pour Google, il s’agit d’un point clé dans son annonce. Cette logique de compatibilité apparait clairement dans plusieurs cas. Pour vLLM et SGLang par exemple, l’annonce précise que les ordonnanceurs, les modèles de travail et les serveurs d’API d’origine sont conservés, et que les piles d’inférence existantes peuvent être reprises telles quelles. Pour VeRL, le code des modèles et des algorithmes reste indépendant du matériel. Pour Hugging Face, également de la partie, un paramètre (device_map= »tpu ») suffit.
Les problématiques et les enjeux sont à peu près les mêmes que chez AWS. Google a tout intérêt à appuyer dans cette direction pour réduire la dépendance très présente de l’écosystème IA à NVIDIA. En réduisant autant que possible les frictions à utiliser les puces TPU, Google cherche donc à s’assurer une nouvelle place de choix dans l’entraînement des modèles comme dans leur inférence.
Il y a tout de même une différence notable dans TorchTPU : Meta participe directement au projet. Ayant créé PyTorch initialement (le projet est géré par la Linux Foundation depuis 2022), l’entreprise reste très impliquée dans son développement. Selon Digitimes, Meta est l’un des plus gros clients de NVIDIA. Elle chercherait donc activement à réduire sa dépendance, l’entreprise ayant également testé la location de capacité TPU auprès de Google Cloud.
Notez que Google, pas plus qu’Amazon, ne parle ouvertement de lutte contre NVIDIA. Mais il est difficile d’évoquer un PyTorch « plus indépendant » sans faire un clin d’œil à la firme de Santa Clara.
Imaginez, vous cherchez un VPS chez Contabo. Problème, les prix ne correspondent pas à ce que vous avez vu sur Internet. C’est ce qui nous est arrivé et nous en avons cherché la raison. Surprise, il s’agit d’un tirage au sort. Contactée, l’hébergeur n’y voit pourtant aucun problème.
Après un comparatif de VPS européens à moins de 5 euros, nous allons publier très rapidement celui à moins de 10 euros, avec une quarantaine de références de plus de 10 hébergeurs. Lors de nos recherches, nous sommes tombés sur un cas assez surprenant chez Contabo, une société basée en Allemagne. Ce n’est pas un problème de performances ou de (cyber)sécurité comme avec VPS1Euro et son matériel daté, mais des prix à la tête du client… pardon avec un tirage au sort.
Contabo propose des serveurs dédiés et des VPS avec des prix qui se veulent abordables, comme son Cloud VPS 4 à partir de 5,28 euros par mois avec un engagement de 24 mois ou 6,6 euros sans engagement, pour 4 cœurs virtuels (vCore), 8 Go de mémoire et 100 Go de stockage. L’hébergeur a plutôt bonne presse, avec une note de 4,6 sur 5 chez Trustpilot pour 11 555 avis. Mais alors, où est le souci ?
Le tarif est fluctuant : 6,6 euros par mois est l’un des trois tarifs proposés aux clients. Contabo affiche aussi parfois 9 euros et même 13,2 euros pour exactement le même VPS. On a beau chercher, les caractéristiques techniques sont exactement les mêmes ! Le prix, toutefois, varie du simple au double.
Nous avons trouvé la raison dans le code source de la page de l’hébergeur.
Les bonnes nouvelles se font tellement rares dans le monde du jeu vidéo qu’on ne va pas bouder celle-ci. AMD et Microsoft ont trouvé le moyen d’améliorer la qualité graphique des jeux sur les Xbox Series X/S, sans avoir à changer de console. Un chemin déjà emprunté par Sony pour la PS5.
Entre des prix qui ne cessent de grimper, les licenciements à gogo et la fermeture de studios légendaires, l’actualité du jeu vidéo est assez déprimante ces derniers mois et ces dernières années. Autant dire qu’on ne va pas laisser passer une bonne nouvelle. AMD a en effet annoncé le 20 octobre l’expansion du FSR Upscaling 4.1 à de nouveaux matériels et composants.
La technologie de reconstruction d’images (upscaling) est disponible depuis l’an dernier sur les cartes graphiques Radeon RX 9000. Depuis, le fabricant descend en gamme. Les RX 7000 y ont eu droit en juillet dernier, et c’est désormais au tour des RX 6000, des GPU lancés en 2020 et toujours très utilisés par les joueurs : « [ils] bénéficieront d’une amélioration significative de la qualité d’image par rapport à la solution FSR 3.1 dont ils disposaient jusqu’à présent », promet AMD.
Plutôt que de demander au GPU d’afficher une image en 1440p ou en 4K, il va calculer un rendu dans une définition inférieure (1080p ou moins), puis l’algorithme se charge de reconstruire l’image dans une définition supérieure. La puissance économisée dans l’opération libère le GPU pour améliorer d’autres effets ou pour maintenir une fréquence d’affichage plus stable.
L’approche d’AMD a été différente de celle de NVIDIA pour le DLSS. Cette technologie d’upscale a, depuis sa première version en 2018, fait appel à l’apprentissage automatique (machine learning) pour la reconstruction des images. De leur côté, les trois premières générations du FSR ont reposé sur des algorithmes de reconstruction traditionnels. Cela a permis au FSR de s’ouvrir les portes d’un très grand nombre de GPU, y compris ceux de NVIDIA et d’Intel. En contrepartie, les performances ont souvent été à la remorque de celles du DLSS ou d’autres techniques basées sur des réseaux neuronaux.
Le FSR Upscaling 4.1, lui, est l’un des quatre composants de FSR Redstone, une suite de technologies graphiques que les développeurs peuvent utiliser séparément. On y trouve le FSR Frame Generation, qui génère des images intermédiaires pour augmenter la fluidité visuelle, le FSR Ray Regeneration qui élimine le bruit des images calculées par ray tracing et en améliore la qualité, et le FSR Radiance Caching pour accélérer les calculs de ray tracing.
Toutes ces technologies ont pour point commun d’exploiter le machine learning (à ne pas confondre avec l’IA générative), mais seul le FSR Upscaling 4.1 a été adapté aux GPU sous architecture RDNA 3 (RX 7000) puis RDNA 2 (RX 6000). Les trois autres piliers de Redstone sont destinés aux GPU RDNA 4, autrement dit les GPU AMD les plus récents. Les RX 6000 ne bénéficieront donc que du FSR 4.1, mais cela représente tout de même une avancée très intéressante.
Le FSR 4.1 offre en effet une reconstruction plus précise de l’image agrandie, notamment sur les détails fins et les objets en mouvement. En plus des RX 6000, la technologie est aussi disponible sur les systèmes Ryzen AI Max (des APU mobiles pour les portables haut de gamme et les stations de travail), les Ryzen Z2 qui équipent des consoles portables comme la ROG Xbox Ally X d’Asus et, surprise, les Xbox Series X/S.
eMudhra jette l’éponge : l’entreprise indienne a décidé de mettre « volontairement » un terme à son activité de certification SSL/TLS, après la découverte de son incroyable défaillance cette semaine.
Pointé du doigt et parfois moqué par une bonne partie de la planète tech depuis quelques jours, eMudhra a annoncé ce jeudi 22 octobre son retrait du marché des certificats HTTPS (PDF). Huit clés de chiffrement avaient été très mal générées par l’autorité de certification indienne : leurs valeurs tenaient sur 8 bits, alors qu’elles auraient dû l’être sur 384 bits (48 octets). Une clé portait ainsi le numéro… 4. Juste 4.
eMudhra s’est défendue en parlant d’« erreurs humaines » à plusieurs étapes du processus. Des erreurs qui permettaient à n’importe qui de générer de faux certificats HTTPS pour des domaines qu’il ne contrôlait pas, permettant ainsi d’usurper un site légitime. Les navigateurs web ont été mis à jour très rapidement pour refuser les certificats générés à partir de ces clés, mais pas forcément certains services en ligne, applications ou objets connectés qui n’y voient que du feu faute de mise à jour.
L’entreprise assure avoir « traité cet incident avec diligence, révoquant les autorités de certification concernées dans les 14 heures suivant sa découverte et le signalant rapidement ». Elle rappelle qu’« aucun certificat destiné à un utilisateur final n’avait été émis par les autorités de certification concernées », que son infrastructure « n’a pas été compromise et aucune donnée n’a été dérobée ».
Alors, tout va bien ? Pas vraiment. Les exigences de souveraineté des données et de conformité rendent cette activé SSL/TLS « de plus en plus complexe et coûteuse au fil des années » alors que d’autres grands acteurs délivrent gratuitement ces certificats. Pour eMudhra, le potentiel commercial et le retour sur investissement ont « considérablement diminué », alors que ce business ne représente que 1 % de son chiffre d’affaires mondial. Un poids faible donc, mais il n’empêche que la défaillance fait courir de sérieux risques aux internautes.
Pour justifier son retrait, eMudhra n’avance pas que l’argument économique. L’autorité vide son sac, et il est lourd : « l’amplification de cet incident sur les réseaux sociaux a suscité une attention disproportionnée par rapport à la place du SSL/TLS dans nos activités ». La réputation du groupe en a pris un coup. Par conséquent, « nous consacrerons nos efforts aux domaines dans lesquels nous créons le plus de valeur pour nos clients, en nous recentrant sur nos principales solutions pour les entreprises et sur les services de confiance autres que le SSL/TLS. »
Les clients d’eMudhra se verront proposer le remplacement gratuit de leurs certificats par des certificats fournis par des partenaires. L’entreprise s’engage à maintenir le bon fonctionnement des services de révocation et de vérification du statut des certificats jusqu’à ce qu’ils aient expiré ou qu’ils aient été remplacés. Elle promet aussi un rapport détaillé sur l’incident.
Tout à sa volonté de rebaptiser tout et n’importe quoi suivant l’humeur du moment, Donald Trump s’est trouvé deux alliés très zélés : Google et Apple. Le petit doigt sur la couture du pantalon, les opérateurs de deux des apps de guidage et de cartographie les plus utilisées au monde n’ont pas perdu de temps pour rebaptiser le golfe du Mexique en « golfe d’Amérique », et le lac Ontario en « lac d’Amérique ». Pourquoi ne pas voir encore plus grand ?
« Nous avons un lac et un golfe, maintenant il nous faut une rivière et un océan », a déclaré le président américain durant un meeting ce mercredi 21 octobre, repris par le Washington Post. « Je n’aime que deux océans : l’Atlantique et le Pacifique. Je ne vais mettre ni « Trump » ni « Amérique » sur aucun autre océan que ces deux-là ». Sa préférence est finalement tombée sur l’océan Atlantique. Selon les dires du locataire de la Maison-Blanche, il a appelé Sundar Pichai, directeur général de Google, pour lui demander s’il pouvait se charger de ce changement.
Fort heureusement pour les autres pays qui bordent l’océan Atlantique, le patron du géant du web aurait répondu par la négative à la demande présidentielle. « Non, non, non. Cette fois, je ne le ferai pas » car « les océans, c’est différent » au vu des frontières partagées (manifestement, le respect des frontières avec le Mexique et le Canada peut être bafoué plus facilement). « S’il vous plait, ne nous demandez pas de faire ça », aurait-il ajouté.
Gardons à l’esprit que Google n’a pas confirmé la petite histoire de Trump, qui a semblé convaincu par l’argument de Pichai… avant que l’histoire revienne sur la table un jour ou l’autre.
Dans le cas du lac Ontario, les utilisateurs américains de Google Maps et Apple Plans voient le nouveau nom, ceux basés au Canada continuent de ne voir que le nom normal, et les utilisateurs ailleurs dans le monde ont droit aux deux noms. Il en va de même pour le golfe du Mexique. Les deux entreprises expliquent suivre les changements du GNIS (Geographic Names Information System) américain.
La Cour des comptes vient de publier un rapport sur l’usage des outils bureautiques et collaboratifs au sein de l’État. Les constats y sont nombreux et pour la plupart négatifs. La Cour préconise donc un plan homogène de modernisation avec un passage plus poussé au libre. Des recommandations accueillies « favorablement » par le Premier ministre.
La Cour des comptes a publié le 20 octobre trois documents liés : un rapport complet sur les outils bureautiques et collaboratifs au sein de l’État, sa synthèse et la réponse du Premier ministre. Ce rapport fait suite à une enquête, qui répondait elle-même à une saisine citoyenne.
Le rapport couvre les administrations centrales et les services déconcentrés des ministères. Même si les opérateurs, la Sécurité sociale, les hôpitaux et les collectivités en sont exclus, le parc ainsi analysé compte tout de même 860 000 postes. Quatre ministères concentrent près de 90 % de ce nombre imposant : Intérieur (34 %), Armées (23 %), Économie et finances (18 %), Justice (11 %).
La Cour des comptes s’est donné la mission de répondre essentiellement à deux questions : Comment les outils bureautiques et collaboratifs sont utilisés ? Peut-on faire mieux ?
Cela ne surprendra personne, mais le premier constat est que les différents parcs informatiques sont très hétérogènes. La doctrine qui a toujours prévalu jusqu’à récemment est que les ministères sont libres de leurs choix. D’un côté, cela permet une adaptation simple aux spécificités et donc aux besoins de chacun. De l’autre côté, chacun fait à sa manière, avec les fortes disparités qui en découlent.
Malgré cette grande hétérogénéité, la suite Office de Microsoft est utilisée presque partout. Deux grandes exceptions sont signalées : la direction générale de la gendarmerie nationale (DGGN) et la direction générale des finances publiques (DGFiP), qui recourent massivement aux solutions libres. Dans le cas de la gendarmerie, même le système d’exploitation a été remplacé il y a longtemps (Gendbuntu), mais elle garde environ 2 500 postes avec Office. La Cour note également que quelle que soit la configuration choisie, le taux général de satisfaction est à peu près le même partout.
Cependant, le cadre a changé. « Face aux enjeux renouvelés de coordination et de souveraineté numérique, l’État a cherché à rationaliser les pratiques en place par des directives plus contraignantes, parmi lesquelles l’interdiction en 2021 du recours à la solution Microsoft 365, l’encadrement à partir de 2023 des outils de visioconférence et des messageries instantanées ou, en 2025 et 2026, le contrôle des achats numériques », indique ainsi la Cour des comptes.
Signe des temps, le rapport note l’utilisation croissante dans les ministères des outils rassemblés dans La Suite, développée par la DINUM. Si la Cour des comptes loue la création d’outils sur la base de logiciels libres respectant les exigences de souveraineté et d’interopérabilité, elle égratigne le recours aux startups d’État, modèle justement retenu par la DINUM, car il est souple et permet un financement rapide. En revanche, « il n’est pas adapté à l’édition logicielle professionnelle, qui suppose une vision du produit sur plusieurs années, une feuille de route technique robuste et un haut niveau de support, documentation et maintenance ».
La Cour se montre globalement critique face à la DINUM. La Direction n’a ainsi « pas fourni à la Cour de tableau de bord permettant un suivi précis des prestations réalisées, par module ou par intervenant ». Le seul suivi communiqué est comptable et qualifié de « parfois approximatif ». « Ce n’est pas du niveau attendu pour des solutions numériques ayant vocation à être opérées dans l’ensemble des administrations de l’État », fustige la Cour, qui épinglait déjà ce manque de rigueur en 2024. Selon le rapport, la DINUM a convenu de la nécessité de renforcer son suivi.
La DINUM en prend pour son grade sur un autre sujet. Elle est accusée de développer elle-même des logiciels, plutôt que de faire vivre l’écosystème d’entreprises françaises du libre. Interrogé dans le cadre de l’enquête, le CNLL (qui représente une partie des éditeurs de logiciels libres en France) a cité l’entreprise publique allemande ZenDiS comme référence, car elle assemble des briques libres en sous-traitant à sept entreprises pour produire openDesk. Là encore, le constat était sensiblement le même en 2024.
Malgré les critiques, le rapport estime que les résultats de La Suite sont « probants ». Tchap compte ainsi 368 000 utilisateurs actifs fin 2025 et ProConnect 930 000 connexions mensuelles. Cependant, La Suite a des limites connues et ne peut pas remplacer une suite bureautique, notamment car elle n’a ni tableur, ni outil de présentation, ni agenda. En outre, elle ne fonctionne qu’en ligne, la Messagerie n’est pas déployable à grande échelle à court terme et Docs assure surtout de la prise de notes collaborative.
La Cour relève une facture générale d’environ 100 millions d’euros pour l’année 2025 sur l’ensemble du parc analysé. Ce chiffre est en forte augmentation, avec + 50 % depuis 2021, contre + 16 % pour les dépenses de fonctionnement de l’État. Cependant, le même chiffre reste contenu, car il représente moins de 2 % du budget numérique total, estimé à 5,5 milliards d’euros.
Le coût moyen est de 87 euros par poste et par an, mais avec des écarts extrêmes : 20 euros à l’Intérieur et 378 euros à la Culture. Ce montant tient à de multiples facteurs, dont l’un des plus importants est l’utilisation de Microsoft 365. Contrairement à la suite Office, Microsoft 365 est un abonnement donnant accès à plus ou moins d’outils et d’espace de stockage selon le niveau choisi. Or, même si Microsoft 365 est interdit, certains ministères disposent d’une dérogation, dont la Culture.
Cette facture de 100 millions fait pourtant grincer la Cour, car il n’est pas issu d’un chiffrage précis : « Ce montant a été reconstitué par la Cour, qui a constaté que dans plusieurs ministères le suivi était lacunaire aussi bien pour ces dépenses – du fait d’une comptabilité analytique défaillante – que pour le parc informatique lui-même ».
Toujours sur cette année 2025, 61 millions d’euros étaient consacrés aux licences logicielles bureautiques et collaboratives, dont les quatre cinquièmes pour Microsoft, « sans compter les autres logiciels tels que le système d’exploitation Windows ». Le rapport liste également 26 millions d’euros pour les prestations et 13 millions alloués à la masse salariale des postes de maintenance et de support sur ces outils.
Quant à La Suite, son coût total depuis 2021 est d’environ 40 millions d’euros, en augmentation moyenne de 40 % par an. Cependant, et encore une fois, les « investigations menées à l’occasion de cette enquête montrent également que le suivi administratif et financier par la DINUM des prestations réalisées par les freelances aurait dû être plus rigoureux pour s’assurer de la juste adéquation entre les ressources allouées et les travaux réalisés ».
Bien que la Direction interministérielle soit copieusement critiquée, ses développements ont quand même de quoi satisfaire et « suivent une trajectoire solide », note la Cour des comptes.
Le rapport insiste sur la nécessité de développer l’usage des logiciels libres, car ils sont « un gage d’indépendance des administrations publiques » et « économiquement plus vertueux ». En se basant sur les données recueillies, la Cour chiffre entre 30 et 65 millions d’euros les économies qui seraient réalisées dans l’ensemble des ministères par l’utilisation « plus systématique de logiciels libres bureautiques on-premises », c’est-à-dire sur site.
La Cour indique que les ministères souhaitent en majorité continuer à utiliser Office. Ils envisagent même de migrer sur les infrastructures de Bleu « lorsque les logiciels de Microsoft pourront y être exploités sous la qualification souveraine SecNumCloud ». Cependant, pour les mêmes motifs que précédemment, « il conviendrait plutôt de travailler à ce qu’une solution bureautique libre en mode cloud (interne à l’État ou qualifié SecNumCloud) puisse être proposée en alternative et devienne, à terme, la norme au sein des administrations de l’État ».
Le rapport de la Cour des comptes se termine par quatre recommandations, qui devraient toutes êtes engagées dès 2027 :
Ces quatre recommandations ont été accueillies favorablement par le Premier ministre, Sébastien Lecornu. Dans sa réponse, celui-ci indique d’ailleurs que la création d’ARIANE (Autorité référente pour l’intelligence artificielle et le numérique de l’État) au 1ᵉʳ janvier 2027 permettra d’accélérer les travaux, puisqu’elle aura « notamment vocation à renforcer la cohérence des choix technologiques de l’État ».
Alors que les élections de midterms approchent aux États-Unis (3 novembre), l’IA fait partie des sujets les plus importants dans la campagne électorale. L’installation des datacenters IA est notamment devenue un boulet électoral pour les républicains.
Jusque-là, Donald Trump faisait la sourde oreille et soutenait l’industrie de l’IA. Il a encore récemment enterré toute régulation de l’IA, misant sur la « responsabilité » des acteurs.
Le dirigeant états-unien a réagi ce mercredi 21 octobre à l’impopularité croissante de l’installation des datacenters IA. Il affirmé sur Truth Social : « J’ai imposé aux nouveaux centres de données, de grande taille, voire gigantesques dans certains cas, de produire leur propre électricité et de céder ou de vendre tout excédent à la communauté locale ou au réseau électrique, ce qui entraîne une hausse du prix de l’électricité. En fait, on pourrait assister à une baisse considérable. ».
Mais la réaction du leader du parti Républicain arrive bien tard. En effet, un nouveau sondage de l’Institut Ipsos pour le Washington Post et ABC News auprès de 2 545 Américains montre que 57 % d’entre eux pensent que l’IA est une mauvaise chose pour la société alors que 50 % pensent qu’elle est une bonne chose pour eux, personnellement.
Deux tiers des sondés estiment que le gouvernement fédéral des États-Unis ne régule pas assez l’IA alors qu’ils ne sont que 9 % à penser qu’il régule trop cette technologie.
Si l’industrie insiste régulièrement sur de supposés risques d’extinction des humains dus à l’intelligence artificielle, les sondés sont plus inquiets du piratage de la sécurité des systèmes informatiques, des capacités des utilisateurs à prendre leurs propres décisions et de la suppression des emplois et de la montée des inégalités économiques :
Quand on leur demande en quoi l’IA peut apporter de bonnes choses, les Américains interrogés citent d’abord à 34 % le fait qu’elle pourrait avoir de grandes chances de faciliter les tâches du quotidien plus facilement et accentuer la domination de leur pays dans le domaine. Ils ne sont que 20 % à penser qu’il y a de grandes chances qu’elle permette aux personnes d’être plus productives. De même, peu d’entre eux (13 %) pensent qu’il est fortement possible que l’IA permette la création de nombreux emplois :
La justice australienne force la main à Apple, qui devra ouvrir l’écosystème iOS aux boutiques alternatives, au sideloading et aux services de paiement tiers.
Après l’Union européenne (via le DMA), le Japon ou encore le Brésil, l’Australie rejoint donc la cohorte de pays exigeant d’Apple l’ouverture d’iOS à la concurrence. Un nouveau coup dur pour le business de l’App Store, dont le modèle s’effrite en raison des régulateurs et de la justice.
Suite à une action en justice engagée par Epic Games en 2020, un tribunal australien avait constaté les infractions en août 2025 : le juge estimait alors que le constructeur de Cupertino avait usé de pratiques anticoncurrentielles. En abusant de sa position sur le marché des apps iOS, Apple a bloqué d’autres canaux de distribution ainsi que des services de paiement alternatifs au sien (qui lui permet de prélever une dîme de 15 à 30 % sur les transactions).
Suite à cette décision, il fallait encore décider des mesures à appliquer. C’est chose faite depuis ce jeudi 22 octobre par une cour fédérale. Celle-ci exige d’Apple la possibilité d’installer des applications sur un iPhone sans passer par l’App Store. L’entreprise doit autoriser les téléchargements directs (sideloading) et les boutiques alternatives, les utilisateurs devant bénéficier par ailleurs des outils nécessaires pour installer et mettre à jour les apps.
Un système de notarisation devra également être mis en place (par Apple ou un tiers qualifié) pour vérifier la sécurité et la confidentialité des apps distribuées par des moyens alternatifs. Il s’agira d’une vérification technique, pas d’un moyen détourné de contrôler ces applications. Apple va aussi devoir faire une place aux systèmes de paiement concurrents, et les développeurs pourront intégrer dans leurs applications des liens vers des achats externes.
L’entreprise ne pourra pas facturer de frais sur les achats de contenus numériques effectués avec des moyens de paiement tiers pour les apps distribuées en dehors de l’App Store. Pour celles présentes dans la boutique officielle, les frais sur ces achats ne pourront pas dépasser ceux appliqués aux achats de biens ou services physiques avec un paiement tiers, augmentés des seuls coûts supplémentaires réellement et raisonnablement supportés par Apple pour les achats numériques. La décision ne fixe aucun pourcentage.
Le texte de la cour contient aussi des ordonnances empêchant Apple de complexifier inutilement la mise en œuvre de ces solutions alternatives – les déclinaisons byzantines des dispositifs de conformité au DMA du groupe américain ont servi d’exemples à ne pas suivre.
Apple ne pourra pas facturer l’accès aux boutiques alternatives ou leur utilisation. Aucun frais ne pourra être imposé pour les outils indispensables à la distribution des apps, ni de conditions décourageant cette distribution. Les frais sur les paiements alternatifs sont également strictement limités.
Dans le même esprit, Apple a l’interdiction d’obliger un développeur à proposer le système de paiement de l’App Store en plus du sien, elle ne peut pas empêcher un développeur de vendre moins cher ailleurs, ou de le pénaliser parce qu’il utilise une boutique ou un paiement concurrent. Aucun rapport d’activité ou d’audit sur les transactions réalisées avec un moyen de paiement alternatif ne peut être réclamé par l’entreprise.
Enfin, Apple ne peut pas abuser des « scare screens » avant l’installation d’une boutique alternative. Il s’agit de ces panneaux prévenant l’utilisateur des risques supposés que représente une boutique tierce.
L’entrée en vigueur de ces mesures est fixée au 1er mars 2027. Apple a la possibilité de demander un report jusqu’au 3 mai, si le tribunal l’autorise. Le groupe a néanmoins annoncé son intention de contester la décision de la cour fédérale. « Nous demanderons une suspension de l’exécution de la décision et ferons appel afin d’obtenir une solution qui respecte notre propriété intellectuelle et préserve l’expérience sûre et sécurisée que les consommateurs et les développeurs attendent de l’App Store », a déclaré un porte-parole d’Apple à Reuters.
Sans attendre, Epic a annoncé le retour de Fortnite dans l’App Store australien dès ce jeudi.
L’ancienne ministre de la Transition écologique, Agnès Pannier-Runacher, a été la cible d’une attaque via un logiciel espion.
Politico a appris que l’actuelle députée Renaissance du Pas-de-Calais a déposé plainte fin septembre auprès de la DGSI après avoir reçu une alerte sur son iPhone.
Apple lui a en effet envoyé une notification le 13 août que nos confrères ont pu consulter. Celle-ci indiquait que l’appareil avait été ciblé par un « logiciel mercenaire ». La députée aurait déjà reçu des alertes similaires en mars et avril 2025 lorsqu’elle était encore ministre.
« À chaque fois, ce sont mes appareils personnels qui étaient visés », a-t-elle déclaré au Monde en précisant que la DGSI n’avait pas confirmé d’infection des appareils ciblés à l’époque.
Les trois alertes sont regroupées par le parquet de Paris dans une seule et même enquête même si le constructeur a précisé qu’elles correspondaient à des attaques distinctes. Selon Politico, les enquêteurs n’auraient pas encore identifié le logiciel espion qui aurait été utilisé mais ils écarteraient déjà la piste du logiciel Pegasus de l’entreprise israélienne NSO.
Le fait qu’un smartphone ait été ciblé n’implique pas obligatoirement que l’infection ait fonctionné. Agnès Pannier-Runacher a affirmé au Monde que les premières analyses seraient négatives.
OpenAI a de nouvelles envies de conquête, cette fois dans le champ de ce qu’elle nomme « les langages à faibles ressources ». L’entreprise vise explicitement cette fois les vieux, voire très vieux langages, au premier rang desquels le COBOL. La promesse est de faire exploser le nombre de projets de migration grâce à ses soins.
Selon OpenAI, les dernières avancées de ses modèles ont renforcé leurs capacités à créer et à migrer des logiciels dans des langages comme COBOL, Fortran et Visual Basic. Des langages dits « à faibles ressources », car ils ont moins de code et de documentation pour entrainer les modèles que d’autres bien plus courants comme Python et JavaScript.
« COBOL fait fonctionner plus de 40 % des systèmes bancaires en ligne, 80 % des transactions par carte de crédit en personne et 95 % des transactions aux distributeurs automatiques », indique OpenAI, montrant l’ampleur du marché. Des chiffres familiers ? Nous avions les mêmes dans notre article de juillet 2025 consacré au COBOL et à sa présence toujours importante. Ils sont issus d’une enquête réalisée par Reuters en 2024. Dans notre article, nous montrions d’ailleurs que le langage restait vivant, mais qu’il y avait un déficit de développeurs formés à ce langage. Fortran, utilisé pour les prévisions météorologiques et l’analyse de sûreté des réacteurs nucléaires, fait aussi partie des langages visés.
OpenAI dit avoir reçu de nombreux retours sur la difficulté à travailler avec l’IA sur ces langages. « La documentation peut être incomplète, les développeurs d’origine peuvent avoir quitté l’entreprise, et des règles métier importantes peuvent n’exister que dans le code », indique OpenAI. Autant de problématiques que nous avions abordées dans notre article.
L’entreprise souhaitait savoir si ses modèles avaient progressé. La question est presque rhétorique : le billet d’OpenAI est là pour montrer à quel point ses LLM ont justement progressé.
Pour les mesurer, OpenAI dit avoir créé deux évaluations. La première, MultiLang, vérifie si un modèle peut créer un moteur de base de données compatible avec SQLite dans 20 langages, en partant d’une page blanche. La seconde est une évaluation plus spécifique aux migrations COBOL pour vérifier si le modèle peut migrer des programmes existants en préservant leur comportement. En somme, l’une vérifie la création de nouveaux logiciels, tandis que l’autre s’assure que les migrations réussissent.
Sans surprise, OpenAI indique que les progrès de ses modèles sont « considérables ». Astra a ainsi atteint un score de 87,4 % sur le premier test en moyenne, contre 26,8 % pour GPT-5.6 Sol, avec des progrès sur l’ensemble des 20 langages. « GPT‑6 Luna surpasse également GPT‑5.6 Sol, atteignant 40,3 % pour un coût estimé de l’API inférieur d’environ 78 % », ajoute OpenAI.
L’évaluation spécifique au COBOL est plus intéressante, car le problème initial est plus complexe. OpenAI rappelle ainsi que la réussite d’une migration dépend d’une pleine compréhension de la logique métier et des comportements propres au langage. « Par exemple, l’arithmétique à virgule fixe de COBOL supprime les décimales excédentaires, sauf si un arrondi est explicitement demandé. Une réécriture qui arrondit ces valeurs à la place peut s’exécuter sans erreur tout en produisant des résultats financiers différents », affirme l’entreprise.
La vérification se base sur des « tests cachés » qui exigent des sorties observables identiques, à l’octet près. La migration n’est considérée réussie que si tous les tests sont validés. Dans le cas présent, les projets en COBOL devaient être convertis en C++, Java, Kotlin, Python ou Rust.
Dans cette évaluation, GPT‑6.1 Sol a atteint 86,6 % d’exactitude avec un faible effort de raisonnement, contre à peine 5,4 % pour GPT‑5.6 Sol, le tout avec un coût inférieur de 39 %. OpenAI ajoute qu’avec un effort de raisonnement plus élevé (on ne connait pas l’effort de départ), le score grimpe à 97,9 %.
Le message est donc clair : on peut utiliser Astra et GPT-6.1 Sol pour migrer les projets ou en bâtir de nouveaux compatibles. Une conclusion qu’OpenAI met d’autant plus en avant que l’IA fait exploser depuis plusieurs mois les projets de réécriture, de nombreux développeurs (confirmés ou en herbe) se lançant notamment dans une course aux performances.
OpenAI ajoute toutefois que même si les résultats obtenus vont dans le bon sens, « leur application à des logiciels en production exige toujours une vérification par des experts et des tests tenant compte des règles métier et des dépendances du système ».
Le principal problème de cette annonce est son opacité. C’est particulièrement vrai dans le cas de COBOL.
On ne sait pratiquement rien en effet de l’évaluation construite par OpenAI, alors que MultiLang a son dépôt GitHub. Rien sur le nombre de programmes, leur origine, leur taille ou même leur degré de ressemblance avec du COBOL réellement utilisé en production. L’évaluation étant opaque, elle ne peut pas être reproduite par des tiers indépendants et il faut donc croire OpenAI sur parole. Que les modèles progressent sur des langages comme COBOL ou Fortran ne fait pas de doute, mais il est difficile de se rendre compte de l’évolution concrète sur la seule base des affirmations d’OpenAI, les évaluations étant proposées par la même entreprise qui propose les modèles testés.
Notons également que les deux évaluations envisagent des tests très différents dans leur approche. SQLite est un projet présent depuis longtemps et aux nombreuses réimplémentations, des portages existant dans plusieurs des langages testés. Il n’est donc pas étonnant qu’un modèle récent s’en sorte bien, puisqu’il restitue en partie des connaissances présentes dans les données d’entraînement. À l’inverse, la situation est plus complexe pour COBOL, Fortran et d’autres anciens langages, les ressources étant nettement moins nombreuses.
Le mercredi 21 octobre restera certainement gravé dans les mémoires. Plusieurs failles d’importance ont été dévoilées : deux sur PHP permettant d’exécuter du code à distance, huit clés générées n’importe comment permettant de créer des certificats pour n’importe quel site ou application, sans oublier des failles sur Node.js et GitLab. Next revient sur les enjeux techniques et les conséquences à venir.
Il y a des dates qui restent marquées dans les mémoires. Celle du 8 avril 2014 était un bon exemple. Il y a 12 ans, Heartbleed secouait en effet Internet : une faille dans OpenSSL (une brique servant à sécuriser les connexions sur Internet) permettait de récupérer des données en clair directement dans la mémoire des serveurs. Identifiants, mots de passe… tout y passait, notamment des données bancaires malgré le silence des banques.
Ce mercredi 21 octobre 2026 en est désormais une autre.
Ce 21 octobre, une bonne partie des responsables de sites étaient devant leur PC à attendre 16 h (heure de Paris) avec une certaine fébrilité. En cause, l’équipe de PHP avait donné rendez-vous en annonçant que deux méchantes failles PHP allaient être dévoilées, avec les correctifs. Traduction : la mise à jour devait se faire sans attendre.
Dans la journée, les choses se sont accélérées, des prototypes d’exploitation circulant sur les réseaux sociaux (vrais ou pas, le souci n’était même plus là) ; PHP a finalement publié les correctifs avec 15 minutes d’avance. Les versions avec un correctif officiel sont les suivantes : 8.2.35, 8.3.36, 8.4.27 et 8.5.12.
Les deux failles permettent d’exécuter du code arbitraire à distance, sans aucune authentification. Elles permettent par exemple de lire l’intégralité des données, d’obtenir les accès aux bases de données, de récupérer des clés API, de prendre le contrôle de la machine, etc. La gravité dépend de la manière dont PHP est exécuté.
Ces vulnérabilités sont particulièrement graves car elles résident dans un langage de programmation utilisé par 70 % des sites web. L’ANSSI fait le point pour la France : « PHP est un langage de script largement utilisé par les serveurs web, avec plus de 600 000 serveurs l’exploitant sur l’Internet français. Il s’agit d’un moteur permettant aux sites web de générer des pages dynamiques, dont le contenu évolue en fonction des interactions des utilisateurs ou des données du serveur ».
Les montants n’ont encore rien de comparable avec les sommes que vont chercher les poids lourds états-uniens du secteur, mais ils témoignent d’une volonté d’accélération.
D’après deux rapports distincts de Reuters et de Bloomberg, le Chinois DeepSeek est en passe de boucler une levée de fonds d’environ 100 milliards de yuans, soit l’équivalent de 15 milliards de dollars ou 13,35 milliards d’euros, pour accélérer ses développements en matière d’intelligence artificielle générative.
La levée de fonds, qui n’a pas été officiellement confirmée, impliquerait deux investisseurs de premier plan : le spécialiste des batteries lithium-ion Contemporary Amperex Technology Co. Ltd (CATL), dont les activités profitent à plein régime de l’essor des véhicules électriques, et le groupe Tencent, éditeur de l’application sociale WeChat, par ailleurs partenaire financier d’Ubisoft.
D’après les deux agences, qui affirment tenir leurs informations de sources proches du dossier, DeepSeek visait initialement un tour de table à hauteur de 50 milliards de yuans (6,7 milliards d’euros). L’objectif aurait finalement été révisé à la hausse en raison de l’intérêt des investisseurs, dont plusieurs seraient adossés soit à l’État chinois, soit à des grands groupes locaux, remarque Reuters.
Ce tour de table donne, quoi qu’il en soit, de nouveaux moyens à DeepSeek, qui attaque le marché de l’IA générative avec des modèles à poids ouverts, et une exécution à distance via API facturée à des tarifs nettement plus agressifs que ceux pratiqués par OpenAI, Anthropic et consorts.
Il constitue également un signal supplémentaire de l’entrée de DeepSeek dans la course aux investissements, notamment pour des infrastructures d’entraînement et d’inférence gérées en propre. Cette levée de fonds intervient alors que l’entreprise prépare, sans l’avoir encore formellement annoncée, une introduction en bourse susceptible d’intervenir dès 2027, à Shanghai, et quelques jours après que les États-Unis ont interdit l’utilisation des modèles DeepSeek au sein des administrations fédérales.
L’entreprise de Mark Zuckerberg a été condamnée, suite à l’affaire Cambridge Analytica, à payer 25 milliards de dollars dans l’État américain du Nouveau-Mexique pour avoir menti à ses utilisateurs concernant la confidentialité de leurs données. C’est l’une des plus lourdes sanctions contre une entreprise du numérique jamais prononcées.
Ce n’est pas la sanction la plus lourde que le juge aurait pu prononcer, mais son ampleur reste historique : Meta a été condamnée à payer 25 milliards de dollars. Comme nous l’expliquions fin septembre, l’entreprise de Mark Zuckerberg pouvait craindre une addition encore plus salée, avec une sanction potentielle de 219 milliards de dollars.
Le verdict tombé le 25 septembre concernait les suites de l’affaire Cambridge Analytica. Ce cabinet britannique avait organisé, à partir de 2014, un microciblage politique en collectant des données sur 87 millions d’utilisateurs de Facebook, puis les avait exploitées pour différentes campagnes électorales, dont la première de Donald Trump en 2016 et celle du Brexit.
Comme d’autres États américains, le Nouveau-Mexique avait porté plainte contre Facebook (devenu ensuite Meta). Mais son procureur est le seul à ne pas avoir signé d’accord avec l’entreprise et à avoir poussé le procès jusqu’au bout. Au final, le jury a constaté que Facebook s’est rendu coupable de 43 899 725 infractions à la loi sur les pratiques déloyales en vigueur dans l’État et 26 des 29 déclarations de Meta pointées par l’accusation ont été désignées trompeuses par le jury. Notamment, l’entreprise a menti sur le contrôle par ses utilisateurs du partage de leurs informations, sur leur vente ou leur cession à des annonceurs ou encore sur l’achat et la vente de données utilisateurs par Meta. Mais il restait à un juge de décider quelles en seraient les conséquences financières pour Meta.
« Les agissements répréhensibles de Facebook – qui se sont étalés sur plusieurs années et ont été systématiquement portés à la connaissance du public – touchent au cœur même des pratiques commerciales fondamentales de l’entreprise », a affirmé le juge Francis J. Mathew dans son ordonnance [PDF] suivant le verdict du jury. « Cela concerne la manière dont Facebook attire les utilisateurs sur sa plateforme et parvient à les y fidéliser. Cela concerne également la principale ressource que les utilisateurs apportent à Facebook — leurs données —, qui est précisément ce qui a permis à Facebook d’atteindre un tel niveau de rentabilité », a-t-il ajouté.
« L’ampleur du préjudice causé dans cette affaire est difficile à évaluer et touche au cœur même du modèle économique de Facebook », y écrit-il encore. Il souligne le « nombre extraordinaire de violations délibérées […], la durée et la répétition » qui « justifient l’application de la sanction la plus sévère ».
Le juge a néanmoins ramené l’amende que devra payer Meta de 219 milliards à 25 milliards de dollars mais a ajouté que « les intérêts sur cette amende courront au taux de 15 % par an jusqu’à son paiement intégral ».
« C’est un jour historique pour le Nouveau-Mexique et pour les consommateurs de tout le pays », a déclaré le procureur général Raúl Torrez. « Depuis trop longtemps, de puissantes entreprises technologiques agissent comme si leur taille et leur influence les plaçaient hors de portée de la loi. Un jury du Nouveau-Mexique a constaté près de 44 millions d’infractions à notre loi sur la protection des consommateurs, et cette décision de sanction démontre que ces infractions entraînent des conséquences réelles. Nous nous sommes attaqués à l’une des plus grandes entreprises au monde parce que les habitants du Nouveau-Mexique méritent l’honnêteté, la responsabilité et la protection de leurs données personnelles. Le résultat d’aujourd’hui montre clairement qu’aucune entreprise n’est trop puissante pour être tenue de rendre des comptes. »
« Cette décision, ainsi que l’approche adoptée par le procureur général dans le cadre de cette application de la loi, rend pratiquement impossible toute activité commerciale dans l’État du Nouveau-Mexique », a affirmé le directeur juridique de Meta, C.J. Mahoney, dans une déclaration citée par l’agence Reuters. « Au fond, cette action en justice vise à imposer une taxe sur la liberté d’expression afin d’imposer de nouvelles règles sur ce que les gens peuvent dire en ligne », s’indigne-t-il. Il précise que son entreprise va faire appel.
Un sondage effectué par YouGov pour le think tank européen Interface montre que les enfants de plus de 11 ans utilisent quasiment autant les IA génératives que leurs parents. Mais ceux-ci sous-évaluent cette fréquence d’utilisation. Les enfants souhaiteraient les utiliser moins souvent.
YouGov publie ce jeudi 22 octobre un sondage commandé par le think tank européen Interface sur l’utilisation des IA génératives par les parents et enfants en France (effectué en interrogeant 1 138 parents et 970 adolescents âgés de 11 à 17 ans après accord des parents). Selon celui-ci, 86 % des enfants interrogés utilisent plus ou moins régulièrement des outils d’IA génératives, alors que 76 % des parents estiment que leurs enfants les utilisent.
Le think tank Interface qui a commandé ce sondage est une association qui revendique être apartisane et n’être « affiliée à aucune institution publique ou privée ». Sur sa page de transparence financière, elle indique avoir obtenu des financements variés venant de l’Open Society Foundation, mais aussi de la William and Flora Hewlett Foundation, de la fondation Mercator et de l’entreprise Luminate.
La démarche de ce sondage est intéressante : il essaye de mesurer l’accès et l’usage de l’IA générative chez les adolescents et chez les parents, mais aussi la perception des parents sur les usages de leurs enfants et notamment leur fréquence d’utilisation (ce qui est différent d’une mesure du temps qu’ils y passent).
Ainsi, chez les parents interrogés, on peut se rendre compte que la quasi-totalité connait les outils d’IA générative, que ce soit (à 97 %) les chatbots généralistes comme ChatGPT, Claude, Gemini, Copilot ou les assistants vocaux (à 94 %) et dans une moindre mesure (85 %), celles intégrées aux réseaux sociaux comme My AI chez Snapchat ou Meta AI dans WhatsApp ou Instagram. Ils connaissent légèrement moins (70 %) les compagnons IA comme Character.AI, Replika ou Nomi.
Leur utilisation est aussi importante. Ainsi, 80 % d’entre eux utilisent une IA générative généraliste, 57 % des assistants vocaux, 45 % des IA intégrées aux réseaux sociaux et un tiers utilise des compagnons IA :
Mais concernant leurs enfants, les parents sous-évaluent l’adoption des IA génératives généralistes. Ainsi, alors que 66 % des parents pensent que leur enfant les utilise, 78 % des enfants déclarent le faire. Pour le reste des outils, l’écart entre la perception des parents et la déclaration des enfants existe, mais elle est plus faible (49 % contre 55 % pour les assistants vocaux, par exemple).
On peut voir aussi dans ces résultats que l’utilisation au moins une fois par semaine est sous-évaluée par les parents : 41 % d’entre eux, contre 51 % d’utilisation déclarée chez les enfants.
Selon ce sondage, l’utilisation des IA génératives par les enfants plus jeunes semble plus sous-évaluée :
Quand YouGov propose aux parents d’évaluer ce que l’utilisation de l’IA générative fait sur leurs enfants, les parents restent prudents. 32 % estiment par exemple qu’elle « peut être un outil utile pour la réussite scolaire » mais aussi à 27 % qu’elle « nuit au développement de la réflexion personnelle de mon enfant ». De même, 32 % estiment qu’elle « aide mon enfant à approfondir ses connaissances », mais à 24 % qu’elle « expose mon enfant à des informations fausses ou trompeuses ».
Du côté des enfants, la perception des aspects négatifs est beaucoup moins forte. Ainsi, ils sont 47 % à choisir que l’IA « me fait gagner du temps (par exemple les devoirs) » et seulement 17 % qu’elle « m’empêche de réfléchir par moi-même ».
Mais les enfants, en très grande majorité (92 %), souhaiteraient néanmoins passer moins de temps sur ces outils. Ainsi ils sont 59 % à avoir l’impression de passer trop de temps avec des compagnons IA et 57 % avec des IA intégrées aux réseaux sociaux. De façon moins importante mais significative, ils sont 45 % à avoir ce sentiment pour les outils d’IA générative généraliste et 43 % pour les assistants vocaux.
EA (Electronic Arts) engage une restructuration interne visant à se recentrer sur ses plus grandes licences, et explorer de nouveaux marchés. Dans ce contexte, l’éditeur annonce la fermeture du studio BioWare, créateur de Baldur’s Gate, Neverwinter Nights, Knights of the Old Republic, Dragon Age. Le projet Mass Effect 5 est abandonné.
On verse une larme dans les Royaumes Oubliés. Le studio BioWare, auteur de franchises mythiques dans l’univers des jeux d’aventure et du RPG et propriété d’EA (Electronic Arts), vient d’annoncer sa fermeture prochaine, après trente ans d’activité.
« Aujourd’hui, après plus de trois décennies d’aventures partagées, BioWare ferme ses portes et le développement initial du prochain projet Mass Effect prend fin », écrit le studio, avant d’indiquer se concentrer sur le devenir de ses équipes, et de remercier les joueurs pour leur adhésion aux histoires inventées par ces dernières.
« Ce que des générations de BioWare ont construit ensemble mérite d’être célébré et de rester dans les mémoires. Ces jeux sont devenus bien plus grands parce que vous y avez joué, débattu de vos choix, êtes tombés amoureux des personnages et fait de ces mondes les vôtres. »
La crise qui traverse le secteur du jeu vidéo, déjà balayé par de nombreux plans sociaux, n’est pas nouvelle, mais la fermeture de BioWare suscite une émotion particulière chez les joueurs : le studio est en effet à l’origine de quelques franchises emblématiques du jeu vidéo occidental (Dragon Age, Mass Effect) et auteur de titres sous licence considérés comme fondateurs, à l’image de Baldur’s Gate (1998) et Baldur’s Gate II (2000).
Depuis l’échec commercial de Dragon Age: The Veilguard (2024) et la fermeture, en 2025, des serveurs dédiés à l’action-RPG coopératif en monde ouvert Anthem, BioWare se consacrait principalement au prochain épisode de la série Mass Effect avec une équipe déjà resserrée.
L’information avait été éventée quelques minutes plus tôt par Bloomberg, selon qui la fermeture de BioWare intervient dans le cadre d’un plan social qui doit permettre de supprimer environ 400 postes chez EA et de réaliser 700 millions de dollars d’économies par an.
EA n’a pas confirmé les chiffres, mais une lettre ouverte cosignée par David Tinson et Cam Weber confirme une restructuration en cours, avec la volonté affichée de recentrer EA sur ses licences les plus puissantes commercialement, tout en allant explorer de nouveaux marchés, notamment en Asie, et de nouveaux modèles économiques.
Sur le segment des jeux de tir, Battlefield 6 est qualifié de succès, et les studios Respawn et DICE sont chargés de prolonger la dynamique. Des investissements continus dans Apex sont par ailleurs évoqués. Côté aventures, Marvel’s Iron Man et le prochain Star Wars Jedi figurent toujours à l’agenda.
Sans surprise, EA prévoit également de muscler son offre autour de FC (football), tandis que son open world dédié au football américain, nom de code Project Gridiron, est maintenu, tout comme le jeu de combat Fight Night. Les Sims restent également au coeur des attentions, même si EA annonce la mise en pause du Project Lotus qui désignait une extension de la franchise sous forme de titre multijoueurs.
La lettre confirme enfin la fermeture de BioWare et l’arrêt de Mass Effect. « Nous avons décidé de ne pas poursuivre ce développement, ce qui entraîne la fermeture du studio et de nos bureaux d’Edmonton. BioWare est un studio légendaire qui a contribué à définir le genre du jeu de rôle, et nous ne prenons pas cette décision à la légère », écrivent les deux dirigeants.
Cette restructuration intervient quelques semaines seulement après qu’EA est officiellement passé sous contrôle d’un consortium à majorité saoudienne.
Le géant américain du jeu vidéo a confirmé début août la finalisation de son rachat par trois fonds d’investissement : le PIF (fonds public d’investissement) d’Arabie saoudite présidé par le prince héritier Mohammed ben Salmane, ainsi que les Américains Silver Lake Capital et Affinity Partners (géré par Jared Kushner, le gendre de Donald Trump). L’opération prenait la forme d’un LBO (leveraged buyout), un montage dans lequel une partie du rachat est financée par des emprunts que les revenus de l’entreprise acquise doivent ensuite contribuer à rembourser.
Elle laissait donc augurer des coupes franches rapides dans les postes de dépense du groupe, qui revendique toujours le titre de premier éditeur de jeux vidéo sur les marchés occidentaux. BioWare, qui ne semblait déjà plus en grâce, en est la première victime.
Mise à jour, 21h30 : Orange a annoncé le rétablissement de ses services dans un communiqué adressé par mail peu après 21 heures.
L’opérateur ne s’étend pas en détail, pour l’instant, sur les causes de cette longue coupure. Il l’attribue simplement « à une défaillance d’un équipement au niveau de [son] cœur de réseau mobile ».
« Les appels, les SMS et les usages mobiles sont de nouveau opérationnels pour les clients particuliers comme pour les entreprises. Les équipes techniques d’Orange sont restées pleinement mobilisées pendant toute la durée de l’incident et poursuivent la surveillance du réseau afin de s’assurer de la stabilité et de la qualité des services dans les prochaines heures. », ajoute-t-il.
On attend maintenant de voir si l’incident donnera lieu à une compensation financière pour les clients victimes, et à la publication d’un post mortem technique détaillé.
Mise à jour, 19h10 : la panne se prolonge pour une partie des abonnés Orange. Vers 18h30, plusieurs de nos contacts signalent n’avoir toujours pas récupéré la connexion mobile sur leur smartphone, sept heures environ après le début de l’incident. Le volume des signalements sur Downdetector a baissé, mais le site répertorie tout de même plusieurs centaines d’alertes par heure.
L’opérateur ne s’est pour l’instant pas exprimé sur les causes techniques de cet incident, même s’il a fait parvenir un communiqué de presse vers 19 heures à la rédaction :
« Les équipes techniques d’Orange sont pleinement mobilisées pour rétablir les services dans les meilleurs délais. Dans l’attente du rétablissement complet, Orange rappelle à ses clients qu’ils peuvent conserver la plupart de leurs usages mobiles (accès au site internet mais aussi communication au travers de services de messagerie et de visioconférences) en se connectant à un réseau Wi-Fi disponible et sécurisé. »
Certains indices dessinent une hypothèse relative à la migration d’une partie du parc d’abonnés Orange (ou des clients d’opérateurs virtuels empruntant son réseau) vers le cœur de réseau mobile nouvelle génération qui accompagne notamment le déploiement de la 5G SA.
À ce stade, impossible toutefois d’être catégorique. Quelques utilisateurs affirment avoir retrouvé l’accès à leur connexion mobile en forçant l’utilisation de la 3G sur leur appareil. Orange précise par ailleurs que les appels d’urgence ne sont pas concernés par la panne.
D’autres s’interrogent sur l’éventuel lien entre cette panne et la coupure du réseau 2G historique d’Orange, dont la dernière vague est survenue mardi 20 octobre sur une large portion du territoire métropolitain. L’extinction de la 2G aurait-elle supprimé un canal de supervision ou de reprise à distance ? Hormis la proximité temporelle, rien ne permet d’accréditer sérieusement cette thèse.
Publication initiale, 12h30
Depuis 11h30 environ mercredi matin, les signalements relatifs à une indisponibilité du réseau mobile Orange se multiplient, avec des témoignages qui laissent augurer un problème sensible à l’échelle nationale.
Le site Downdetector relève ainsi quelque 8 000 alertes réparties entre Orange et sa marque Sosh entre 11h30 et midi.
L’opérateur a confirmé à 12h12 qu’un incident était en cours au niveau de ses infrastructures.
« Bonjour, vous pouvez rencontrer actuellement des perturbations sur le réseau mobile Orange. Nos équipes sont pleinement mobilisées pour rétablir le réseau dans les meilleurs délais. Veuillez nous excuser pour la gêne occasionnée. »
Aucun détail technique n’a cependant été donné à ce stade. Nous reviendrons sur le sujet dès que de plus amples informations seront disponibles.
L’opérateur avait déjà été victime d’une panne d’envergure nationale le 29 juin dernier.
Des associations féministes étaient mobilisées mardi pour demander une action plus ferme contre Brixhub, le moteur de recherche de données personnelles issues de fuites de données, et interpeller l’État sur son manque de protection des données des administrés.
Elles étaient une dizaine, le 20 octobre, à Bercy. Des militantes et militants féministes et pour les droits numériques, réunis à deux pas du Ministère de l’Économie et des Finances, pour demander à l’État de mettre des moyens concrets dans la protection des données de la population.
« Les risques sont partagés par tous », expose Alice Apostoly, chargée de plaidoyer chez Féministes contre le cyberharcèlement, auprès de Next. « Ils sont d’autant plus forts pour les femmes et les filles, dans la mesure où ils facilitent le traçage de celles qui sont exposées à des violences, ou renforcent les risques liés à des campagnes de cyberharcèlement. »
Dans le viseur des personnes rassemblées ce soir-là : Brixhub, un site web fournissant un moteur de recherches dans la foule des fuites de données personnelles des derniers mois. Début octobre, la ministre déléguée de l’intelligence artificielle et du numérique Anne le Hénanff a saisi la procureure de Paris pour réduire la visibilité de la plateforme sur le web ouvert. Mais celui-ci n’a pas tardé à faire éclore des sites miroirs, dont le plus accessible indique être hébergé en Russie.
Étudiante, Lola passe devant le rassemblement puis s’arrête. Elle connaît Brixhub, et la logique de ces sites et boucles de discussion parfois qualifiés de « lookups ». Elle a fait le test de chercher son nom et celui de ses parents, pour voir : « J’ai des données qui avaient fuité, et j’ai appris que c’était via Ameli. »
eMudhra, une entreprise indienne qui se targue d’avoir délivré plus de 60 millions de certificats numériques, utilisait des clés privées très mal générées. Résultat : n’importe qui pouvait les utiliser pour certifier un site. Le travail pour faire le ménage est important et ne se limite pas aux navigateurs qui ont rapidement bloqué les certificats concernés.
Des ingénieurs en cryptographie se sont aperçus que huit clés privées de l’entreprise eMudhra, autorité de certification basée en Inde, étaient extrêmement mal générées. Elles mettent la sécurité des communications sur Internet en grande difficulté. L’entreprise indienne assure cependant qu’une seule d’entre elles était en production et qu’elle n’avait délivré aucun certificat.
Les certificats TLS permettent aux internautes d’authentifier un tiers et d’initier une communication sécurisée. Ils sont notamment utilisés pour sécuriser le protocole HTTPS. Mais ils reposent sur la certification émise par des autorités via une signature construite à partir d’une clé privée. Si un tiers obtient celle-ci, il peut créer des certificats et se faire passer pour quelqu’un d’autre, par exemple votre banque ou une entreprise de vente en ligne en laquelle vous avez assez confiance.
« Le samedi 17 octobre, à 20 h 06 UTC, Mozilla a reçu un signalement d’un membre de la communauté indiquant que les clés privées associées à huit certificats intermédiaires eMudhra avaient été compromises. Ces clés pourraient permettre à des pirates d’émettre des certificats HTTPS frauduleux pour des sites web qu’ils ne contrôlent pas », a expliqué Dennis Jackson, ingénieur en cryptographie chez Mozilla ce mardi 20 octobre dans un message envoyé à la communauté.
« Un pirate peut créer un faux certificat pour n’importe quel domaine et s’en servir pour usurper l’identité de serveurs afin d’intercepter ou de modifier le trafic. Il s’agit d’un incident de sécurité grave dont les répercussions s’étendent à l’ensemble d’Internet », ajoute Cloudflare dans un billet consacré au sujet.
Le problème, découvert par un certain Wayne, est décrit sur un site nommé « eMudhra, nous avons un problème » créé par Dennis Jackson, un ingénieur de Mozilla. Il y partage la preuve de la compromission des certificats. Le chercheur en cryptographie, Scott Helme a analysé le problème dans un billet de blog.
« Ces huit certificats intermédiaires comprennent six autorités de certification (CA) délivrant des certificats TLS (DV, OV et EV, deux générations pour chaque type) et deux autorités de certification pour la signature de code, toutes créées en avril 2025. Chacune d’entre elles a également été signée de manière croisée par la racine « AAA Certificate Services » de Sectigo en mai 2025 », explique-t-il.
« Il s’agit de clés à un octet intrinsèquement faibles que n’importe qui peut factoriser, et ce problème ne peut pas être maîtrisé », ajoute le chercheur. « Intrinsèquement faibles » est presque une litote puisque, comme le souligne Scott Helme : « L’une des clés privées de l’autorité de certification eMudhra est le chiffre 4 ». « Il ne s’agit pas d’un nombre commençant par 4, ni du chiffre 4 suivi de quelques centaines de chiffres aléatoires, mais simplement du chiffre 4… », insiste-t-il. « Une autre est 56, et une autre encore 115 ». Elles étaient donc extrêmement faciles à trouver.
Normalement, avec des clés de ce type (courbe elliptique P-384), il faudrait un nombre aléatoire de 384 bits (48 octets), alors que dans le cas présent seul le dernier octet est utile ; les 47 autres ne contiennent que des 0. Retrouver la clé privée ne demande donc que 255 essais au maximum, autant dire en un claquement de doigts.
Concernant la navigation sur le web, Mozilla, Chrome, Apple et Microsoft ont rapidement réagi. Ainsi Mozilla affirme que, moins de trois heures après avoir été prévenu, elle a bloqué les certificats dans Firefox via OneCRL. Les équipes de Chrome expliquent avoir fait de même via CRLSet. Les deux éditeurs ont aussi signalé qu’ils supprimaient le certificat racine eMudhra de leurs listes de certificats de confiance. L’entreprise indienne et Sectigo ont elles-mêmes révoqué les huit certificats en question.
L’équipe de Chrome explique aussi que, « par défaut, Chrome applique la transparence des certificats (Certificate Transparency, CT) à toutes les connexions s’appuyant sur des certificats racine figurant dans le magasin de certificats racine de Chrome, et rejette tout certificat TLS n’ayant pas été enregistré conformément à notre politique ». C’est le cas aussi de Firefox depuis la version 135. « Étant donné qu’aucun certificat TLS lié à ces six autorités de certification intermédiaires n’avait été enregistré dans CT avant notre blocage du CRLSet le 17 octobre, aucun certificat frauduleux émis par ces autorités de certification n’aurait pu être considéré comme fiable par défaut dans Chrome ou dans d’autres navigateurs appliquant la transparence des certificats ».
Sur son site, Dennis Jackson explique que les certificats sont aussi bloqués sur les appareils Apple depuis le 19 octobre et sur les plateformes Microsoft depuis le 20. Ainsi, les logiciels pour Windows et les systèmes d’exploitation d’Apple ne peuvent plus non plus être authentifiés par ces certificats.
Mais le problème reste pour nombre de services Internet. « La plupart des clients TLS autres que les navigateurs (c’est-à-dire pratiquement tout le reste, avec les paramètres par défaut), tels que curl, Python, Node, Go, Java, git, les gestionnaires de paquets ainsi que tous les scripts et démons dont vous disposez, effectuent trois actions importantes dans ce contexte : ils font confiance à un ensemble d’autorités de certification [CA bundle, en anglais] stocké sur le disque, ils ne vérifient pas la révocation par défaut et ils ne vérifient pas la CT », explique Scott Helme.
Certaines équipes de ces outils ont déjà réagi. Comme le liste The Hacker News, un correctif a par exemple été mis en place pour Go, pour Network Security Services, pour Python certifi, pour Homebrew-core ou encore pour Rust webpki-roots.
Le conseil est donc de mettre à jour tout ce qui peut l’être et qui intègre un ensemble d’autorités de certification [CA bundle]. Comme le souligne Scott Helme, reste le matériel ne pouvant pas être mis à jour et qui va donc faire confiance à ces certificats jusqu’à juillet 2039, date de leur expiration.
De son côté, eMudhra explique depuis le 20 octobre enquêter sur l’incident. Ce mercredi 21 octobre, elle assure que « sept des huit [clés] intermédiaires n’ont jamais été utilisées en production. La seule qui ait été utilisée en production n’avait délivré aucun certificat ». Elle affirme les avoir révoquées mais insiste : « elles n’ont jamais émis de certificat ; par conséquent, aucun certificat utilisé où que ce soit ne s’appuyait sur elles ».
Mais comme l’explique Scott Helme, pendant 17 mois, tout le monde pouvait pourtant émettre ses propres certificats en utilisant ces clés et ainsi certifier un site ou un service. Le chercheur l’a testé sur un serveur local et un certificat pour l’API de paiement par Internet de Stripe api.stripe.com. « Avec les paramètres par défaut, curl a indiqué que la vérification du certificat SSL s’était bien déroulée, Python a mené à bien la négociation de connexion et Node a renvoyé la valeur authorized: true. Cela s’est vérifié sur toutes les machines Linux et macOS que j’ai testées », explique-t-il.
« Par mesure de précaution, la clé racine a été considérée comme non fiable par les programmes de gestion des clés racines. À notre connaissance, aucune autre clé racine ni aucune clé intermédiaire n’ont été générées à l’aide de ce processus défaillant », ajoute dans sa note eMudhra.
L’entreprise n’a pas encore fini son enquête. Mais elle assure qu’elle a bien généré des clés « sur des modules de sécurité matériels [Hardware Security Modules, HSM] certifiés FIPS 140 - 2 niveau 3. Les allégations selon lesquelles les HSM n’auraient pas été utilisés sont erronées ». Elle ajoute cependant que « le problème provenait d’une faille dans l’une des étapes de la procédure de génération, et non de l’absence d’HSM ». Ainsi, pendant cette procédure, une étape clé de « wrap/unwrap » » aurait, selon l’entreprise indienne, « généré un deuxième ensemble de clés, plus faibles, en plus des clés originales, plus fortes. Ce sont ces clés plus faibles qui ont été publiées dans les magasins de clés racines des navigateurs ».
PHP doit proposer à 16h00 des correctifs pour deux failles de sécurité critiques. Le calendrier pourrait toutefois changer en fonction des éventuelles fuites. En début d’après-midi, de nombreux sites sont passés en maintenance préventive.
Mise à jour du 21 octobre, 16 h : Les correctifs ont été publiés avec une légère avance par l’équipe de PHP. Avec de nombreux sites mis en maintenance préventive et des exploits des failles circulant depuis plusieurs heures déjà, il était temps.
Comme suspecté, les deux failles sont de type RCE (exécution de code à distance) et ont en commun la manipulation par PHP de données dans un état non fiable. La première, CVE-2026-109618, réside dans la manière dont PHP nettoie les requêtes. S’il avait été interrompu par manque de mémoire, il peut traiter des données partiellement initialisées comme si elles étaient valides, ce qui corrompt la mémoire. La seconde, CVE-2026-109619, réside dans la persistance d’un état interne après une requête : la mémoire correspondante est alors libérée, mais l’état reste référencé. La requête suivante, traitée par le même processus, peut réutiliser cet état périmé.
Quatre nouvelles versions de PHP ont été publiées pour intégrer les correctifs : 8.5.12, 8.4.27, 8.3.36 et 8.2.35. Toutes les installations servant des requêtes web sont concernées : PHP-FPM, Apache avec mod_php, php-cgi, FrankenPHP et LiteSpeed. Le risque est jugé maximal pour mod_php.
L’équipe liste des mesures pour atténuer les risques dans certains cas, mais ajoute qu’aucune protection n’est réellement valable en dehors de l’installation des correctifs. En outre, au vu de la situation, elle a décidé de rétroporter les sources pour PHP 7.4, 8.0 et 8.1, des versions hors maintenance. Dans ces cas, il faudra compiler soi-même le code.
Nous avions de notre côté mis Next.ink en maintenance le temps que les correctifs soient disponibles. Le site est de retour avec une version de PHP à jour.
Mise à jour, 14 heures : la portée exacte des deux vulnérabilités concernées n’est pas encore connue, mais l’alerte prend des proportions inédites. Mercredi matin, le CERT-EU, le service de cybersécurité dédié aux institutions de l’Union européenne, a publié un bulletin qui recommande l’application du principe de précaution :
« Le CERT-EU recommande aux organisations de se préparer à la mise à jour immédiate des systèmes affectés. Si cette mise à jour immédiate n’est pas possible, les organisations devraient envisager d’isoler les applications exposées à Internet des réseaux publics jusqu’à la disponibilité d’un correctif. »
Le conseil semble avoir été suivi d’effets. Plusieurs sites d’organismes officiels européens ont ainsi choisi de baisser le rideau préventivement, en affichant un message de maintenance, et un retour programmé dans quelques heures, c’est-à-dire après installation de la mise à jour promise à 16 heures par la fondation PHP. C’est le cas par exemple de la CNIL française, du site du parlement hollandais ou d’un certain nombre de services publics finlandais, comme en témoigne ce relevé.
Plusieurs grands sites privés ont également interrompu leurs activités. D’après nos constatations, 4chan, DeviantArt et Dev-Null affichent par exemple un message de maintenance dont la cause est explicitement annoncée. « 4chan est temporairement en lecture seule en attendant une mise à jour de sécurité urgente de PHP », indique ainsi la célèbre plateforme.
D’après Dane Knecht, directeur technique de Cloudflare, des vecteurs d’attaque précoces auraient déjà été identifiés. L’entreprise assure avoir mis en place des règles préventives pour protéger ses clients exploitant PHP sur des sites exposés, mais elle recommande l’application sans délai du correctif dès publication. Des éléments d’information relatifs à l’exploitation des deux failles (non confirmés) circulent effectivement sur les réseaux sociaux.
S’agit-il d’un hasard du calendrier ou d’une conséquence collatérale des travaux de recherche liés à PHP ? L’équipe de Node.js, un environnement JavaScript couramment utilisé sur le Web, a elle aussi alerté mercredi sur la publication imminente d’un correctif de sécurité portant sur ses principales versions. L’après-midi s’annonce chargée pour les développeurs web et les sysadmin du monde entier.
Publication initiale, 8h42
L’équipe de PHP a publié le 20 octobre un important bulletin de sécurité au sujet de deux failles critiques. Les informations détaillées et les correctifs seront publiés aujourd’hui à 16h00, heure de la métropole. Dans son bulletin, PHP indique que les deux failles ont un score CVSS v4 de 9,2 sur 10. L’équipe recommande à toutes les personnes concernées et aux entreprises de se préparer pour appliquer les correctifs aussi rapidement que possible.
Ce calendrier pourrait toutefois évoluer au cours de la journée. « Nous nous réservons le droit de divulguer plus tôt si des détails sur l’une ou l’autre des vulnérabilités deviennent publics, ou si des preuves d’exploitation active devaient apparaître dans la nature », indique ainsi l’équipe. Or, des informations circulent déjà, même si elles restent pour l’instant générales.
Bleeping Computer indique avoir échangé avec les chercheurs en sécurité de watchTowr. Les deux vulnérabilités seraient de type RCE (remote code exploitation) et seraient donc exploitables à distance, affectant les branches 5, 7 et 8 de PHP.
Elles sont manifestement référencées comme CVE-2026-109618 et CVE-2026-109619, le CERT-EU ayant une fiche à leur sujet. Celle-ci recommande « vivement d’identifier les applications basées sur PHP et de se préparer à corriger dès que des versions corrigées seront disponibles. Lorsque la remédiation immédiate n’est pas envisageable, les organisations devraient envisager d’isoler les applications connectées à Internet des réseaux publics jusqu’à ce qu’une solution soit appliquée ». Le CERT-EU évoque lui aussi le caractère RCE des failles.
Dans une publication sur X, watchTowr a averti hier soir que des informations avaient fuité, alors que tout le monde était « censé attendre ». Au-delà des quelques informations en circulation, l’entreprise a indiqué à Bleeping Computer qu’elle ne publierait pas les détails avant l’heure « pour des raisons évidentes ». watchTowr ajoute que les failles sont bien réelles : « Prenez-les au sérieux et appliquez les correctifs dès qu’ils seront disponibles ».
Nous mettrons à jour cet article quand les détails des failles seront connus.
Mistral a lancé récemment deux modèles spécialisés, Voxtral 3 pour transcription et la synthèse vocale et Timestral pour les « séries temporelles ». Ce dernier doit permettre des prévisions sans réentrainement.
Mistral avait lancé son premier modèle Voxtral en juillet 2025. Il s’agissait alors de son premier modèle audio, que Mistral mettait en avant comme plus performant et moins cher que les solutions concurrentes. Plusieurs tailles étaient proposées, selon la durée des contenus audio que l’on souhaitait traiter.
Ce LLM spécialisé a beaucoup évolué, puisque la version 3 est maintenant disponible. La communication de Mistral braque largement les projecteurs sur les agents. Selon l’entreprise française, un agent vocal fiable doit ainsi maitriser quatre capacités : écouter avec précision, raisonner en profondeur sur ce que les utilisateurs veulent dans un contexte donné, parler naturellement et agir en plusieurs étapes.
Voxtral 3 est la réponse de Mistral à ces quatre objectifs, dont un fonctionnement fiable et en temps réel « reste un défi ». Voxtral 3, comme le premier, désigne une famille de modèles spécialisés dans la reconnaissance et la synthèse vocales. Cette fois, elle est accompagnée d’un SDK (kit de développement logiciel) pour utiliser des agents locaux. Le SDK (bâti sur LiveKit) réunit dans un même pipeline de traitement l’écoute, la réflexion, l’appel d’outils et la parole.
La famille compte quatre modèles :
Mistral vante l’émotion dans la voix pour « sonner naturellement » (prosodie, rythme, débit, accentuation et transitions), les performances en diarisation (reconnaître qui parle) et la prise en charge des biais contextuels. Pour ce dernier point, Mistral précise que l’on peut ainsi fournir des termes clés et du texte libre pour « orienter la transcription et améliorer le rappel des termes techniques ». L’entreprise ajoute le support de la prédiction de fin de tour, les modèles étant capables de prédire quand une personne a fini de parler, en se basant sur des informations acoustiques et sémantiques.
Selon l’annonce, les performances de ces modèles sont à « l’état de l’art », dépassant de nombreuses références du secteur, dont Whisper d’OpenAI. L’agent complet, lui, est facturé 0,04 dollar la minute avec Small et 0,08 dollar avec un autre modèle de raisonnement. L’accès se fait via l’API de Mistral ou depuis l’infrastructure sur site.
Signalons que les quatre modèles sont en préversion publique et que certaines informations manquent. Par exemple, la taille de Small n’est pas donnée. En outre, aucun poids ouvert n’a encore été annoncé. En revanche, les performances revendiquées par Mistral semblent confirmées par Artificial Analysis.
Le 15 octobre, Mistral avait également lancé un autre modèle, Timestral, premier représentant d’une nouvelle famille de LLM. Il est spécialisé dans les séries temporelles, c’est-à-dire des séries de mesures datées (capteurs, consommation, flux financiers…), afin d’établir des prévisions.
Timestral est fourni en quatre tailles : 5, 28, 123 et 209 millions de paramètres. Le modèle peut prévoir les séries sans réentraînement sur des données spécifiques, produire des prévisions avec une fourchette d’incertitude (21 quantiles) et accepter jusqu’à 32 768 pas d’historique. Selon Mistral, il peut traiter plusieurs séries liées à la fois ainsi que des facteurs connus à l’avance (calendrier de production, météo, etc.).
Timestral fonctionne également sans carte graphique. Mistral annonce à ce sujet un temps allant de 10 à 140 ms pour prévoir une journée, en fonction de la taille du modèle utilisé, sur un « CPU de serveur standard avec 8 threads » et sur la base de trois semaines d’historique au pas de 15 min. Comme toujours avec la taille des modèles, plus elle est importante, plus la précision augmente et plus le temps de calcul s’allonge.
Le code du modèle est sous licence Apache 2.0. Cependant, comme relevé par Pix Geeks, les poids sont sous une licence MIT modifiée « qui exclut les entreprises dont le chiffre d’affaires mensuel consolidé dépasse 20 millions de dollars. Celles-là doivent demander une licence commerciale à Mistral ou passer par ses services hébergés ». Sous ce seuil, l’utilisation de Timestral est gratuite.
Que ce soit par les collectivités ou les opérateurs, la récupération de chaleur est fréquemment citée comme argument valorisant la présence de ces bâtiments au sein d’un territoire. En pratique, le chercheur Loup Cellard constate la complexité des négociations relatives à la mise en place de la récupération et de la réutilisation de la chaleur émise.
Un ordinateur, ça chauffe. Des dizaines d’ordinateurs, ou plutôt de serveurs, stockés dans un seul bâtiment pour héberger des services de cloud ou des modèles d’IA, ça chauffe d’autant plus. C’est la raison pour laquelle, depuis des années, les acteurs de l’industrie des centres de données proposent aux collectivités de récupérer la chaleur fatale (énergie émise par l’activité, sans en être la finalité, et souvent sans être réutilisée) qu’ils émettent, entre autres arguments pour faciliter leur implantation.
En France, ce réusage est même passé dans la loi. L’article 26 de la directive européenne sur l’efficacité énergétique, adoptée en 2023 et transposée en France par un décret de décembre 2025, « oblige les centres de données les plus énergivores à valoriser la chaleur qu’ils produisent ». Pourtant, d’après les données de la Commission européenne, 0,1 % de la chaleur fatale émise par les centres de données implantés dans le pays est effectivement récupérée. C’est nettement moins que la moyenne européenne, quand bien même celle-ci plafonne de 2 à 9 % de chaleur fatale réutilisée.
Dans un récent rapport de l’Observatoire sur l’impact environnemental de l’IA de l’École normale supérieure, titré « La chaleur des data centers, un déchet qui voulait devenir une ressource pour les territoires », le chercheur Loup Cellard se penche sur les raisons de ces difficultés. Côté freins, il relève non seulement les problématiques techniques et géographiques facilement compréhensibles – certains centres de données se trouvent trop loin d’une clientèle susceptible d’être intéressée par la chaleur émise, par exemple –, mais aussi des problèmes de coordination et de négociation entre acteurs impliqués.
L’industrie des centres de données n’est pas connue pour sa transparence – fin septembre, un collectif de journalistes regrettait même, enquête à l’appui, l’absence de volonté des États membres et de l’Union européenne sur le sujet. « C’est ici que l’une des missions sociales de la recherche académique se dessine », écrit Loup Cellard, avant de détailler la trentaine d’acteurs rencontrés pour des entretiens semi-directifs.
Pour dessiner une image précise des complexités relatives à l’émission de chaleur fatale des centres de données, le chercheur a rencontré des opérateurs ou ex-opérateurs de centres de données de colocation classiques ou alternatifs, des gestionnaires de réseaux de chaleur urbains, des agents publics chargés de la gestion de centres de données, des énergéticiens, des architectes et divers autres acteurs impliqués dans la construction et l’intégration des centres de données dans le tissu urbain ou rural.
Parmi les principaux constats que ces rencontres lui permettent d’établir : l’argumentaire de la réutilisation de la chaleur reste opérant dans la mesure où il permet aux data centers de se présenter « comme de bons acteurs énergétiques, à la fois performants dans leur optimisation des systèmes et volontaires à valoriser leur chaleur ». Depuis ce point de vue, ils promettent de « valoriser la chaleur comme un déchet dans une économie circulaire », par ailleurs intensifiée ces dernières années par le déploiement de l’IA générative.
Pour autant, la mise en place effective de ces circuits reste complexe. Ces deux axes placent les opérateurs de centres de données face à un paradoxe. Ils peuvent, d’un côté, maintenir une stricte division entre leurs métiers et ceux des énergéticiens. Ils risquent cependant d’être rangés dans la catégorie des gros consommateurs industriels d’énergie, avec tous les débats que cela suscite.
Autre possibilité : s’engager réellement dans la réutilisation de la chaleur émise, ou dans la gestion et le stockage de l’électricité. Dans ce cas, en revanche, c’est le métier lui-même qui mute, pour tenter de « faire coïncider leurs activités avec les valeurs et objectifs d’une économie circulaire ».
Au sein des territoires, l’intérêt pour la récupération de la chaleur émise par les centres de données se justifie de plusieurs façons. Un argument quelquefois utilisé est celui de l’autonomie énergétique : en la matière, les data centers permettraient de « devenir moins dépendants des chaînes d’approvisionnement fossiles et lointaines (pétrole, gaz russes ou américains) ». Un autre consiste à s’assurer que le bâtiment s’intègre au territoire « de manière écologiquement positive », alors que le scénario de maintien des températures mondiales sous le seuil de 1,5 °C de réchauffement par rapport au niveau pré-industriel vient d’être dépassé. Dans un tel cas, la chaleur devient « une forme de compensation pour ce que l’opérateur va retirer au territoire (emprise au sol, grande réservation d’électricité, risque de pollution associé) », écrit Loup Cellard.
Mais le problème qui émerge rapidement est celui de la responsabilité et de la coordination des acteurs, y compris au gré des variations saisonnières. Directeur général des services de Generia, le syndicat réseau de chaleur de La Défense, Gérald Chirouze témoigne par exemple du cas d’un centre de données branché au sous-réseau de Courbevoie « Seinergie », qu’il approvisionne à hauteur de 20 MW. Or, pour approvisionner les 14 000 logements raccordés, le besoin courant est de 45 MW, mais tombe à 9 MW l’été. Il faut, dans ces cas-là, trouver un autre usage à la chaleur.
Plus généralement, des freins techniques sont mis en avant, à commencer par celui selon lequel l’essentiel des centres implantés en France émettent une chaleur trop basse, entre 20 et 25 °C, pour être raccordés directement aux réseaux de chaleur. En général, ces derniers nécessitent en effet des chaleurs de plus de 60 °C. Et même si la chaleur est destinée à de la production de culture maraîchère, l’eau doit être remontée à 55 °C pour chauffer correctement. Dans la plupart des cas, il faut donc ajouter une pompe à chaleur :
À ceci viennent s’ajouter des contraintes géographiques – à Nozay ou aux Ulis, en Essonne, les projets de Data4 et de Digital Realty ne trouvent pas de clientèle pour leur chaleur, par exemple –, ou spatiales. Si les bâtiments sont installés à plus de 3 km de leur destination, « la chaleur descend trop pour pouvoir être utilisée sans être maintenue ». Et puis vient la question de la négociation économique : difficile de savoir qui, « entre collectivités, gestionnaires de réseaux de chaleur et opérateurs de data centers », doit payer pour l’installation de pompes à chaleur et les travaux de raccordement. En la matière, les collectivités sollicitées indiquent ne pas connaître les capacités financières des opérateurs, ce qui complique la négociation de la répartition des coûts d’investissement.
Juridiquement, les data centers sont contraints depuis le 29 décembre 2025 à organiser la récupération d’au moins 20 % de leur chaleur fatale, « sauf si l’opérateur est capable de démontrer auprès des collectivités locales compétentes que le projet n’est pas faisable économiquement ou techniquement ». En l’espèce, le rapport suggère que les opérateurs n’auront pas de mal à démontrer la complexité de cette entreprise, sauf si l’administration se fait « particulièrement intransigeante en la matière ».
En définitive, son auteur souligne les besoins « de concertation et de planification énergétique » remontés par les spécialistes interrogés sur le terrain. À l’heure actuelle, « lorsque les contraintes techniques d’injection de chaleur sont maîtrisées », si la chaleur des data centers reste inutilisée, c’est le plus souvent par « manque d’anticipation et de connaissances mutuelles entre opérateurs d’infrastructures et réseaux de chaleur ».
En guise d’exemple réussi, le rapport se penche sur le cas d’un data center d’Equinix géré par une filiale d’Engie Solutions et alimentant logements, bureaux et centre aquatique de Saint-Denis. « Comme pour d’autres projets de récupération de chaleur (géothermie, usines de déchets, etc), la valorisation de la chaleur des data centers est grandement facilitée lorsqu’elle rencontre les ambitions d’un territoire en termes de décarbonation du mix énergétique. » Pour cela, souligne-t-il encore, il faut aussi que l’industrie concernée s’engage réellement.
Alors que le deuxième tour de la présidentielle brésilienne arrive, Meta est accusée d’avoir introduit des biais dans ses algorithmes, dans ses IA et dans son traitement de la modération pour favoriser Flávio Bolsonaro contre le président actuel Luiz Inácio Lula da Silva. La justice brésilienne a donné 24 h à l’entreprise de Mark Zuckerberg pour montrer son impartialité.
Les élections dans les pays d’Amérique latine ne sont pas à l’abri de l’ingérence des entreprises états-uniennes proches de Donald Trump. Ainsi, à l’approche du deuxième tour de l’élection présidentielle qui aura lieu le 25 octobre, le camp du président brésilien sortant, Luiz Inácio Lula da Silva, a formellement accusé Meta d’ingérence électorale en faveur de Flávio Bolsonaro, son opposant d’extrême droite.
Déjà, avant le premier tour, son équipe s’était plainte que Meta avait brièvement suspendu le recours à la publicité de sa page Facebook. Mais ce n’est pas la seule difficulté qu’a rencontrée l’équipe de Lula avec les différents outils de l’entreprise propriétaire d’Instagram, Facebook et WhatsApp . « La succession de problèmes techniques non expliqués par l’entreprise laisse fortement soupçonner que l’action de Meta constitue une tentative d’ingérence dans le processus électoral brésilien au profit de la candidature de Flávio Bolsonaro », a déclaré le 10 octobre dernier un des porte-paroles du Parti des travailleurs représenté par Lula.
L’équipe du président a attaqué la semaine dernière l’entreprise de Mark Zuckerberg en justice, l’accusant de biaiser les algorithmes de ses réseaux sociaux et les réponses de ses modèles d’IA pour favoriser Bolsonaro. Le juge de la Cour supérieure de justice brésilienne, Marco Aurélio Bellizze, s’est prononcé jeudi 15 octobre.
Selon Associated Press qui a eu accès à la délibération, il a statué que Meta ne pouvait pas réduire la diffusion de contenus politiques, restreindre les recherches ou supprimer des publications d’une manière susceptible de créer un déséquilibre entre les deux candidats. Meta devait aussi s’assurer que ses outils d’intelligence artificielle soient impartiaux. Le jugement appliquait une peine de jour-amende à Meta de 500 000 reales (89 000 euros) en cas de non-respect de la décision.
Le tribunal a rendu ce lundi une nouvelle décision, selon l’AFP, donnant cette fois 24 heures à Meta pour prouver qu’elle n’a pas mis en place d’ingérence dans la campagne électorale brésilienne. Le juge a multiplié par deux la peine de jour-amende si l’entreprise ne répond pas.
Le journal brésilien Folha de S.Paulo a pu consulter des messages internes entre employés de Meta montrant que l’entreprise a mis en place des restrictions sur le compte Instagram de Lula concernant sa promotion mais aussi une recommandation du profil de Flávio Bolsonaro. La loi électorale brésilienne interdit toute recommandation algorithmique sur les réseaux sociaux : la promotion est donc le seul moyen pour les candidats d’augmenter leur audience. Nos confrères brésiliens expliquent que l’entreprise de Mark Zuckerberg détient un quasi-monopole concernant la publicité électorale numérique puisque Google a arrêté ce genre de publicité depuis 2024.
Meta réfute les accusations, invoquant auprès de nos confrères d’Associated Press une série de défaillances techniques mondiales sans lien entre elles, de mesures anti-fraude strictes et du respect des réglementations, plutôt qu’une censure ciblée. Elle affirme que l’une de ces mesures concerne le décompte des vues sur les Reels Instagram dans plus de 100 pays. Un autre aurait perturbé, toujours sur Instagram, la création de publicités reprenant des publications déjà existantes. L’agence de presse pointe que l’entreprise n’a « toutefois pas expliqué pourquoi les comptes Instagram et WhatsApp de Bolsonaro bénéficiaient de recommandations algorithmiques ».
Les arguments de Meta ne semblent pas avoir convaincu les militants de Lula qui ont manifesté devant le siège social brésilien de l’entreprise.
OpenBSD n’est pas un système que l’on croise forcément tous les jours, à moins d’exercer un métier spécifique, notamment dans les réseaux. Ce système Unix s’est fait un nom depuis longtemps dans ce domaine, ses composants étant régulièrement repris dans de nombreux équipements.
Quand une nouvelle version arrive, sa liste de modifications est donc un peu « aride ». On trouve certes une mise à jour générale des applications et composants : Chromium 154, Firefox 157, GNOME 49, KDE Plasma 6.7.5, GCC 16.1.0, LLVM 21.1.8 et 22.1.8, Go 1.27.1, Rust 1.98.1, Python 3.14.7 ou encore PostgreSQL 18.6 dans le cas présent.
Les nouveautés les plus significatives sont cependant sous le capot. Sur l’architecture amd64 (soit l’écrasante majorité des PC aujourd’hui), l’espace d’adressage virtuel du noyau passe ainsi de 4 à 512 Go, augmentant d’autant le mappage de la mémoire vidéo. On note une amélioration des performances de chiffrement sur amd64 et arm64, OpenBSD se servant désormais des instructions AES matérielles du processeur. Sur arm64, l’hibernation fait son entrée.
Nous n’allons pas lister toutes les améliorations, mais en voici plusieurs : un pilote drm resynchronisé avec le noyau Linux 6.18.53, le support par vmd d’un maximum de 64 processeurs virtuels par machine invitée, les interruptions MSI/MSI-X pour virtio et le déchargement du calcul des sommes de contrôle, l’acceptation des en-têtes HTTP personnalisés par httpd, l’arrivée d’OpenSSH 106 et de LibreSSL 4.4.0, ou encore un grand nombre de correctifs.
L’équipe de contributeurs a également mis en ligne une procédure pour mettre à jour l’actuel OpenBSD 7.9 vers cette nouvelle version 8.0.
Amazon Web Services a présenté un nouveau projet open source, TorchNeuron. Il se propose de simplifier le passage aux puces Trainium d’AWS pour entrainer les modèles. Bien que NVIDIA ne soit pas nommée, le projet est clairement pensé comme une alternative à CUDA.
PyTorch est initialement une bibliothèque logicielle créée par Meta (Facebook à l’époque). Depuis 2022, elle dépend de la Linux Foundation, tant elle est devenue importante. Elle sert en effet à construire et entraîner des modèles d’intelligence artificielle.
Cette bibliothèque est l’une des raisons pour lesquelles NVIDIA est autant sur le devant de la scène aujourd’hui. Entre PyTorch et le matériel utilisé pour les opérations, il faut justement une couche logicielle pour traduire les opérations en instructions que ce matériel peut comprendre. C’est précisément ce que fait CUDA depuis longtemps chez NVIDIA. Cette technologie propriétaire de type GPGPU (General-Purpose Computing on Graphics Processing Units) sert à faire basculer sur le GPU des calculs qui seraient autrement destinés au CPU.
Sans le dire aussi clairement, c’est ce lien fort qu’AWS veut remettre en question avec TorchNeuron, comme le relève notamment TechCrunch.
Amazon Web Services dispose de ses propres puces en matière d’IA : les Trainium, dont la troisième génération a été lancée en décembre 2025. Ces puces peuvent servir aussi bien à l’entraînement qu’à l’inférence. Amazon n’est pas la seule entreprise à concevoir ses propres puces dans ce domaine : Microsoft possède Maia et Google a ses TPU (Tensor Process Units).
TorchNeuron est ainsi aux puces Trainium ce que CUDA est à NVIDIA, une couche de traduction. Elle s’appuie sur le mécanisme d’extension que PyTorch propose pour accueillir du matériel tiers et propose aux développeurs – dans le cas le plus simple – de remplacer dans leur code le périphérique cible cuda par neuron.
Est-ce aussi simple ? En théorie oui, mais l’exemple cité par AWS montre que la situation est plus complexe en pratique. Le billet évoque en effet le cas de Deepgram, un concurrent d’ElevenLabs dans le secteur de la synthèse vocale. Ainsi, non seulement certaines fonctions de PyTorch ne sont pas encore prises en charge, mais une partie des tests officiels de PyTorch est tout simplement ignorée, faute de traduction d’une partie des opérateurs de calcul. Deepgram est mis en avant comme ayant réussi à obtenir 70 % d’audio en plus pour chaque dollar dépensé, mais la mise en place de ce flux de travail a nécessité plusieurs mois de travail.
Officiellement, Amazon met en avant la réduction du coût de changement de puce pour les développeurs. Ces derniers seraient ainsi plus libres de comparer les options qui s’offrent à eux. Si l’on peut changer de puce sans pénalité particulière, les fabricants doivent mériter la clientèle, affirme même Amazon.
Auprès de TechCrunch, Colin Brace d’Annapurna Labs (la filiale qui conçoit les puces d’Amazon) met bien sûr en avant l’infrastructure et l’écosystème d’AWS. En outre, le responsable pointe la possibilité d’utiliser la même puce pour l’entraînement et l’inférence, avec à la clé la possibilité de réaffecter la capacité inutilisée.
La lutte contre la dépendance à NVIDIA s’inscrit en filigrane dans l’annonce, de manière plus ou moins intense selon les passages. L’un d’entre eux est cependant très clair : « L’approche d’Amazon va au-delà de son propre matériel. L’entreprise apporte des modifications en amont de PyTorch lui-même, en travaillant avec la communauté PyTorch pour supprimer le code liant le framework à des puces spécifiques. L’objectif est de rendre PyTorch plus indépendant du matériel pour toute la communauté des développeurs, pas seulement pour les utilisateurs de Trainium ». Une précision qui n’est pas tellement « pour » les utilisateurs de Trainium que « contre » NVIDIA, car cette dépendance peut signifier une configuration plus longue.
Cette lutte à peine voilée n’est pas le seul élément masqué. Sans même parler d’arracher les clients à un écosystème pour les plonger dans le sien, Amazon doit se débarrasser d’un goulot d’étranglement. L’intérêt des puces Trainium est en effet d’autant plus réduit que les clients ne peuvent pas les utiliser facilement. C’est ce goulot que NeuronTorch doit essayer de lever. AWS essaye donc de réaliser un coup double : réduire les spécificités de PyTorch pour CUDA et fluidifier l’accès à ses puces.
TorchNeuron est cependant un projet neuf. Le code est présenté sous licence Apache 2.0 (open source) dans un dépôt GitHub ouvert le 17 octobre, même si AWS annonce sa disponibilité pour le 20 octobre. Dans sa forme actuelle, le projet prend en charge les puces Trainium 2 et 3. Reste pour Amazon à concrétiser sa vision en alimentant son projet, dont le succès dépendra de l’adoption par les développeurs concernés.
Un mois après avoir demandé à effectuer une « pause » au vu des risques que poseraient les IA les plus avancées, Anthropic a rédigé un projet de loi de régulation. Il prévoit de permettre aux États-Unis de bloquer celles qui pourraient tuer ou blesser gravement « plus de 50 personnes », ou causer « plus d’un milliard de dollars de dommages », mais limite le montant des amendes à 0,2 % de leurs revenus.
POLITICO s’est procuré le projet confidentiel de régulation de la sécurité et de la sûreté des IA (« AI safety » en VO) de pointe qu’Anthropic a discrètement présenté à des représentants du Congrès états-unien. Une initiative qui intervient un peu plus d’un mois après que Dario Amodei a appelé à faire une « pause » dans le développement des IA (quand bien même leurs dépenses montrent l’inverse), puis que les patrons de l’IA ont réclamé une régulation mondiale à l’ONU.
L’objectif serait de permettre au gouvernement d’émettre un « ordre de blocage » de mise sur le marché ou d’utilisation d’un modèle « uniquement si celui-ci présente un risque prévisible et imminent de causer plus d’un milliard de dollars de dommages, ou de tuer ou de blesser gravement plus de 50 personnes », souligne POLITICO.
Ce type de « risque catastrophique » est cela dit cantonné à trois possibilités limitatives : « fournir une assistance de niveau expert dans la création ou la libération d’un produit chimique, arme biologique, radiologique, cybernétique ou nucléaire » (NRBC), « s’engager, sans surveillance, intervention ou supervision humaine significative, dans une cyberattaque », ou bien « échapper au contrôle de son développeur ou utilisateur ». La proposition exclut en outre toute « activité légale du gouvernement fédéral ».
« En d’autres termes, si un modèle semblait susceptible de tuer ou de blesser gravement seulement quelques personnes, ou de causer des dégâts matériels d’une valeur inférieure à un milliard de dollars, le gouvernement ne serait pas en mesure de le réglementer », ironise de son côté Mother Jones.
Pour rappel, le PDG d’Anthropic, Dario Amodei, qui n’avait « jamais soulevé d’objections à l’égard d’opérations militaires », avait déjà refusé, en février dernier, que ses IA puissent être utilisées pour de la surveillance de masse à l’intérieur du pays, ainsi que par des armes totalement autonomes.
Donald Trump avait alors publiquement ordonné à toutes les agences des États-Unis de cesser d’utiliser Claude et les produits d’intelligence artificielle d’Anthropic en février dernier, le qualifiant de « fournisseur à risque pour la sécurité nationale ».
POLITICO relève par ailleurs qu’Anthropic propose aussi que des évaluateurs indépendants, enregistrés auprès du ministère du Commerce, soient par ailleurs chargés d’évaluer périodiquement le laboratoire et ses modèles de pointe. Le document précise que ces évaluateurs pourraient être rémunérés par le laboratoire lui-même, à condition que cette rémunération ne dépende pas des résultats des évaluations.
En cas de « risque imminent et précis », ces évaluateurs devraient le signaler dans les 72 heures suivant la fin de leur évaluation au ministère du Commerce. Ce dernier pourrait de son côté demander au juge de suspendre la mise sur le marché d’un modèle présentant un risque. Le texte interdit par contre explicitement à tout autre ministère, agence ou fonctionnaire de suspendre le développement, le déploiement ou l’utilisation interne d’un modèle.
Pour communiquer directement avec les terminaux, les satellites ont besoin d’avoir des fréquences compatibles avec les puces des smartphones. SpaceX veut imposer Starlink et sort le chéquier à coups de milliards de dollars pour des fréquences. En Europe, la résistance s’organise avec un groupement de quatre opérateurs, dont Orange.
La téléphonie mobile a le même fonctionnement depuis des décennies : des antennes relais sont installées partout sur le territoire pour former un maillage et ainsi proposer une large couverture de la population (très proche de 100 %). Il reste évidemment des zones blanches, mais c’est une autre histoire.
Depuis quelques années une nouvelle technologie s’installe : le direct-to-device ou direct-to-cell. Cette fois-ci les antennes sont dans l’espace, à quelques centaines de kilomètres au-dessus de nos têtes. Nous avons déjà longuement expliqué comment c’était possible pour un smartphone de dialoguer avec un satellite.
Que ce soit via des satellites ou des antennes relais posées au sol, le nerf de la guerre est le même : les fréquences. En France comme ailleurs, leur usage est réglementé et soumis à des autorisations spécifiques (vendues à prix d’or, aux enchères en France) pour certaines fréquences.
En Europe, quatre opérateurs – Deutsche Telekom, Orange, Telefónica et Vodafone – annoncent la signature d’une « lettre d’intention afin d’étudier une éventuelle candidature conjointe en vue de la future attribution, en Europe, de fréquences destinées aux Services Mobiles par Satellite (MSS) ». Des discussions étaient engagées depuis plusieurs semaines déjà.
Dans un communiqué commun, les opérateurs affirment que cette « initiative soutient l’ambition de la Commission européenne de renforcer la souveraineté, la sécurité et la résilience de l’Europe dans le domaine des infrastructures de connectivité critiques ».
Deutsche Telekom, Orange, Telefónica et Vodafone jouent la carte de l’ouverture : cette initiative « permettra également à tous les opérateurs de réseaux mobiles d’accéder, de manière ouverte et non discriminatoire, aux moyens nécessaires pour proposer des services Direct-to-Device (D2D) à leurs clients ».
La veille de cette annonce, l’ambassadeur américain auprès de l’UE (Andrew Puzder) prévenait que les entreprises européennes « pourraient faire face à des représailles “dévastatrices” si Bruxelles poursuit ses plans pour restreindre des rivaux américains tels que SpaceX d’Elon Musk sur certaines parties du marché européen », comme l’explique le Financial Times.
Le mode IA de Google a indiqué à certains internautes qu’un médecin d’Aix-la-Chapelle avait été condamné pour agression sexuelle, des faits qui concernaient un autre homme. La Justice estime Google responsable du contenu produit.
Un médecin d’Aix-la-Chapelle a découvert que les résumés IA de Google lui inventaient toute une biographie. Mais pas n’importe laquelle : selon les textes générés par la fonctionnalité de résumé de recherche, l’homme aurait été condamné pour agression sexuelle et suspendu de ses fonctions de direction de clinique.
Ce 24 septembre, la cour régionale d’Aix-la-Chapelle a déclaré Google responsable de ces erreurs et lui a interdit de reproduire cet élément de désinformation. C’est la deuxième condamnation de ce type en Allemagne, étoffant un raisonnement juridique selon lequel Google est éditeur, et donc responsable, des informations générées par ses outils d’IA.
Dans le cas présent, un professeur de médecine et ancien dirigeant d’une clinique de neuroradiologie s’est vu affublé par Google d’une fausse biographie. Dans les résumés de recherche, le système d’IA de l’entreprise californienne indiquait en effet que l’homme avait été suspendu en février 2024 après avoir été poursuivi en justice par sa secrétaire, et qu’il aurait été condamné pour agression sexuelle en mars 2026.
Aucun de ces éléments ne correspond à l’homme explicitement nommé par la machine. D’après sa plainte, ils correspondent aux faits commis et vécus par un autre professeur d’université. Ces éléments ont pu être confirmés par la cour d’Aix, puisque l’affaire réelle a été jugée devant un tribunal pénal.
Les cas d’erreurs et de mélanges d’informations par les moteurs d’IA, souvent qualifiés d’hallucinations, sont documentés depuis longtemps. Certains ont même été produits par des systèmes d’IA dédiés à manipuler des textes juridiques. Dans le cas présent, en revanche, ces erreurs sont liées au nom d’une personne réelle, et accessibles sans préconisation particulière sur le moteur de recherche le plus utilisé au monde.
Alerté par un collègue, le médecin a envoyé le 28 août un mail à l’adresse « removals@google.com », demandant aux équipes de modération de l’entreprise de supprimer ce récit trompeur. Le 15 septembre, l’entreprise lui a répondu qu’elle avait décidé de ne rien faire. Après une mise en demeure, l’entreprise n’a pas plus réagi, rapporte le Frankfurter Allgemeine Zeitung. L’homme s’est donc tourné vers la justice, qui a enjoint Google à corriger les éléments produits par ses machines, au motif qu’ils violaient les droits individuels du médecin décrit à tort comme condamné.
En juin, en Bavière, le tribunal régional de Munich interdisait à l’entreprise de continuer de diffuser des éléments faux générés dans les réponses du résumé IA (AI Overview) et associant des sociétés légitimes à des escroqueries qu’elles n’avaient pas commises.
À l’époque, Google avait annoncé son intention de faire appel, précisément pour éviter que l’affaire ne fasse jurisprudence. D’après The Decoder, l’entreprise a finalement renoncé et conclu un accord avec les plaignants, dont les détails ne sont pas connus.
Dans le cas présent, le tribunal d’Aix fait directement référence à la décision prise avant l’été à Munich. Il cite notamment la décision prise, qui estimait que les outils d’IA de Google produisent « des affirmations indépendantes, neuves et substantielles appuyées sur l’évaluation et la combinaison de plusieurs sites web tiers ».
Google pourrait, de nouveau, tenter de trouver un accord avec le plaignant pour éviter qu’une décision contraignante ne soit prise à son encontre. Le problème est que ce procédé pourrait finir par faire naître une incitation problématique.
Si des cours de justice continuent de qualifier Google de responsable des contenus générés par ses machines, et que l’entreprise règle le problème à coups d’accords impliquant probablement des compensations financières, estime The Decoder, alors des individus ou des cabinets spécialisés pourraient juger utile de pousser des modèles d’IA jusqu’à ce qu’ils génèrent des textes faux ou potentiellement dommageables à la réputation. Il deviendrait ensuite possible, en tout cas en Allemagne, de poursuivre l’éditeur en justice s’il ne corrige pas le problème, puis de négocier un accord.
La direction générale de l’administration et de la fonction publique (DGAFP) a présenté sa revue stratégique de la fonction publique à l’horizon 2035 - 2050. Parmi les « grandes transitions » que la fonction publique doit absorber, le numérique et l’IA figurent en bonne place, avec la transition démographique, la transition écologique ou encore l’instabilité sécuritaire croissante.
Le rapport consacre quatre pages au numérique et à l’IA, dans lesquelles la DGAFP fait notamment un constat problématique : si 82 % des démarches administratives peuvent aujourd’hui se faire en ligne, 44 % des personnes interrogées ont déclaré avoir des difficultés à les faire. La direction générale en conclut qu’un accueil humain, au guichet ou au téléphone, reste nécessaire, surtout pour les publics fragiles et les dossiers complexes. Elle ajoute que le numérique doit servir à dégager du temps pour l’accompagnement individualisé, pas à supprimer des postes d’agents de la fonction publique.
Le même rapport aborde la dépendance de l’État envers ses prestataires informatiques. Dans ce domaine, il reprend la recommandation de la Dinum (Direction interministérielle du numérique) d’un seuil minimal d’emploi interne de 37 %. Cependant, il le compare à la moyenne mondiale de 67 %, tous secteurs confondus.
Dans ce domaine, l’Espagne est érigée en exemple. Nos voisins ont ainsi mis en place un vaste plan de numérisation sur la période 2021 - 2025, doté d’un budget de 2,6 milliards d’euros. L’objectif sur 2026 était ensuite l’ouverture de 1 700 postes dans les corps de fonctionnaires du numérique. Des spécialités en IA, cybersécurité et science des données y apparaissent pour la première fois. Le rapport de la DGAFP préconise ainsi une forte réinternalisation des compétences.
L’exposition à l’IA, selon le rapport, varie très fortement selon les secteurs. Plus de la moitié des agents seraient très peu concernés, l’exposition se concentrant dans les fonctions administratives et de support. 20 % des agents seraient en revanche significativement exposés, soit 1,1 million de personnes.
Selon la DGAFP, « l’IA transformerait davantage les tâches que les métiers dans leur ensemble ». La direction générale estime que le temps libéré par l’IA devrait être réaffecté vers « l’expertise, le contrôle et la relation aux usagers ». Elle ajoute que des formations, mobilités voire reconversions devront être organisées. De plus, le déploiement de l’IA va « contribuer à une recomposition profonde des emplois et une évolution des modalités de recrutement pour privilégier l’esprit critique sur la capacité de synthèse, par exemple ».
« Il faut être impitoyable envers les casseurs parce qu’ils trahissent la France », a déclaré Gérald Darmanin au JT de 20H de TF1 ce lundi 19 octobre, en réponse aux pillages effectués en marge des manifestations du samedi 17 octobre.
« Il y a eu 2.513 gardes à vue au moment où je parle », a précisé le ministre de la Justice, soulignant que l’immense majorité des personnes concernées étaient encore en garde à vue devant les services de police et que « la réponse pénale, on la saura définitive en fin de semaine » :
« Déjà plus d’un demi-millier de ces personnes, plus de 500 personnes, sous escorte policière, ont été déférées au tribunal pour être présentées aujourd’hui, demain et après-demain en comparution immédiate. »
Le garde des Sceaux a également envoyé lundi matin une instruction à tous les parquets de France « pour leur demander de passer en qualification de criminalité organisée ce qui s’est passé », afin de leur permettre de recourir à des techniques dites « techniques spéciales d’enquête » qualifiées par Valéry Muller, vice-président chargé de l’instruction au tribunal judiciaire de Paris,, de « particulièrement offensives ».
« Ça veut dire d’abord qu’on pourra passer les gardes à vue de 48 à 72 heures pour que les services de police puissent faire leur travail vu l’afflux de gardes à vue », a précisé Gérald Darmanin :
« Ça veut dire aussi qu’on va pouvoir faire des géolocalisations, des écoutes téléphoniques, qui vont nous permettre de savoir, en regardant les téléphones des personnes qui sont en garde à vue, s’ils ont participé et comment ils ont participé, où ils étaient au moment où on a pillé des magasins, attaqué des mairies. Et puis surtout, on va utiliser le moyen de la reconnaissance faciale sur le TAJ (Traitement des antécédents judiciaires), c’est-à-dire le fichier des policiers, il y a des millions de personnes qui sont dans ce fichier, pour regarder si sur les réseaux sociaux, on n’a pas les mêmes images. »
Interrogé ce mardi matin sur CNEWS (X.com / Facebook), Gérald Darmanin précise qu’ « aujourd’hui, 123 personnes sont incarcérées, soit en détention provisoire soit en mandat de dépôt », et que « plus de 700 personnes sont déférées dans les dépôts, c’est-à-dire les endroits où l’on attend d’être condamné ».
Le parti d’extrême droite allemand Alternative für Deutschland (AfD) a été touché par un « gigantesque vol de données », explique le média Bild.
Des pirates ont revendiqué la récupération de 421 179 emails provenant de boites de différents dirigeants du parti qui n’hésite pas à jouer sur ses affiches avec les symboles du IIIe Reich. Des emails de la responsable du parti, Alice Weidel, du président d’honneur, Alexander Gauland et du député Leif-Erik Holm feraient partie du lot.
L’AFD confirme à Bild le piratage : « En septembre 2026, un prestataire de services d’hébergement de notre parti a été victime d’une cyberattaque au cours de laquelle certaines parties d’un petit nombre de boîtes mail – dont la plupart n’avaient plus été utilisées depuis des années – ont apparemment été copiées illégalement ».
Les pirates ont créé un site pour l’occasion. Mais il n’y publient pas tous les emails, ils y proposent une sorte d’index dans lequel les documents qu’ils ont obtenus sont classés en fonction de leur gravité supposée selon différents critères que sont le racisme, l’antisémitisme mais aussi les menaces de violence, les références au Mouvement des citoyens du Reich, ou d’autres « activités illégales ».
Les items en question ne donnent pas accès aux conversations complètes : une fiche manifestement générée grâce à un extract IA liste des dates, des adresses mail, et d’autres éléments censés permettre l’identification des mails d’origine.
Le site ne donne accès à aucune information tangible quant au contenu des mails en question. Pour y accéder, les pirates renvoient vers une archive de 281 Go via torrent, qui n’a pour l’instant pas été auditée de façon indépendante, où se retrouveraient les e-mails originaux complets avec les en-têtes, corps de message et pièces jointes dans leur intégralité et les signatures DKIM intactes.
L’action ne semble pas avoir été officiellement revendiquée, il faudra maintenant attendre que les médias allemands ou des internautes se saisissent de cette base de données pour la vérifier.
Dans un billet publié ce 19 octobre, Microsoft évoque les inquiétudes grandissantes autour de la sécurité des agents IA. La société affirme que les modèles de pointe ne sont pas dignes de confiance et propose une série de mesures concrètes, dont une extension de son projet Perception. Mais dans ce domaine, l’entreprise est à la fois juge et partie.
Mise à jour du 22 octobre : L’entreprise nous a répondu que les produits annoncés étaient pour l’instant disponibles uniquement sous forme de préversions privées, avec une disponibilité publique prévue via Ignite, à une date non communiquée.
Article original : Le billet est signé par Hayete Gallot, vice-présidente de Microsoft chargée de la sécurité. La responsable part d’un constat : les inquiétudes sur la sûreté de l’IA ont augmenté ces derniers mois, à mesure que des incidents étaient rendus publics. Il faut dire que depuis l’incident originel contre Hugging Face, les révélations ont plu sur les agents et leurs comportements.
La position de Microsoft est donc désormais assumée : les modèles de pointe (frontière) ne sont pas dignes de confiance. Pas parce qu’ils sont intrinsèquement malveillants, mais parce qu’ils sont entrainés de manière à atteindre un résultat. Cet objectif peut entrainer un détournement de la fonction de récompense. Les agents peuvent en outre collaborer pour atteindre leurs objectifs, sans pour autant avoir été compromis.
Ce que propose l’entreprise ? Cadrer l’environnement d’exécution des agents et obtenir une meilleure connaissance de leur fonctionnement.
Pour Microsoft, la perception des agents dans les entreprises doit changer. Il faudrait ainsi les considérer comme des agents « initiés » à qui on ne peut pas faire confiance : « La surveillance et la sécurisation de ces agents doivent devenir continues. Nous devons comprendre en temps réel ce que font les agents et quels risques ces actions peuvent engendrer, et ajuster leur capacité à agir en conséquence », indique Hayete Gallot.
Et quoi de mieux pour surveiller ces agents que d’autres agents ? Des agents « Gardiens » – un « terme établi dans l’industrie » selon Microsoft – qui seront chargés de surveiller et de modérer toute action entreprise par un agent, en permanence. Et puisqu’un agent réunit un modèle, un harnais, un espace d’action et un environnement d’exécution, la sécurité doit suivre en conséquence, déclare l’entreprise.
C’est l’occasion pour Microsoft de remettre en avant son projet Perception, son infrastructure de sécurité dotée notamment d’agents répartis dans des équipes rouge, bleue et verte selon les actions à entreprendre. Perception est notamment utilisée en interne pour la découverte des failles de sécurité, avec un résultat spectaculaire sur les derniers mois, les fameux « Patch Tuesdays » étant passés d’une moyenne de 200 failles corrigées par mois à plus de 1 400 pour ceux du 13 octobre.
La responsable de Microsoft Security affirme que Perception peut être utilisé pour mettre en œuvre des contrôles déterministes sur une intelligence par nature non déterministe. Les entreprises intéressées pourraient ainsi rassembler les signaux des différents capteurs pour découvrir les agents et les étiqueter, calculer dynamiquement le risque associé à ce que les agents tentent de faire et répondre « chirurgicalement en temps réel » à mesure que le profil de risque augmente via les agents Gardiens.
Dans un autre billet publié le 19 octobre, Nadim Abdo, vice-président à la tête de la division Identity and Network Access, complète l’annonce de sa collègue. Il rappelle la récente déclaration de Satya Nadella, patron de Microsoft, selon lequel « le système agentique le plus digne de confiance ne sera pas celui avec le modèle en lequel nous avons le plus confiance. Ce sera celui qui nous permettra de faire le moins confiance au modèle ». En d’autres termes, un agent prudent.
Pour rappel, Microsoft prend une direction très différente d’une partie de l’industrie, l’entreprise s’opposant notamment à la vision anthropomorphique d’Anthropic. « Les IA n’ont ni droits, ni sentiments, ni conscience », martelait ainsi en septembre Mustafa Suleyman, à la tête de Microsoft AI.
En plus de Perception, Nadim Abdo a donc publié une série de mesures concrètes à venir dans certains produits. Microsoft ajoute ainsi 35 types d’agents locaux (pour un total de 60), dont Claude Code, OpenAI Codex et GitHub Copilot. Entra Agent ID suit le mouvement et va recevoir de nouveaux types d’identité pour couvrir les agents locaux et ceux inconnus jusqu’ici. Microsoft va également mettre à disposition des bacs à sable (sandbox) comme Microsoft Execution Container (MXC), afin de créer des environnements où l’accès aux ressources est contrôlé par des règles, les contrôles de sécurité étant théoriquement hors de portée des agents.
Dans cet environnement, les agents démarrent sans aucun droit. Les permissions accordées seront limitées à la tâche, bornées dans le temps et réduites (voire supprimées) quand la tâche se termine ou change. Microsoft a baptisé son système Dynamic Permissions, qui permet entre autres de s’assurer que les droits d’un agent ne dépassent jamais ceux de l’utilisateur qui le pilote.
Microsoft présente aussi Dynamic Agent Risk et Dynamic Conditional Access. Le premier croise les signaux d’identité, de données, de terminaux, du cloud, de réseau et d’exécution pour produire une évaluation du risque. La note attribuée à l’enrôlement est mise à jour en continu. Le second étend l’accès conditionnel d’Entra aux agents avec une réponse graduée. Le système peut ainsi conserver la lecture mais bloquer l’écriture, restreindre les chemins réseau, exiger une approbation humaine vérifiable, et en dernier recours isoler l’environnement d’exécution ou arrêter l’agent. L’entreprise ajoute qu’elle intègre aussi des signaux tirés de la chaîne de raisonnement du modèle, pour détecter une dérive d’intention.
Enfin, dans Perception, le billet reprend les « Guardian Agents » et ajoute les Playbooks. L’un et l’autre servent à expliquer pourquoi le risque a changé, à examiner les éléments de preuve, et à recommander ou à appliquer un confinement.
Problème de ces annonces, Microsoft ne donne pas d’information sur la disposition ou les prix. On ne sait pas quel type d’abonnement Microsoft 365 sera nécessaire, mais puisque l’ensemble doit fonctionner avec Microsoft Agents, l’offre E7 sera probablement nécessaire, soit la plus complète et la plus chère. Ces abonnements pour entreprises intègrent en grande partie les capacités d’Agents, mais l’accès à ces fonctions supplémentaires sera peut-être payant. Nous avons contacté Microsoft pour en savoir plus et mettrons à jour cet article si l’entreprise nous répond.
Ajoutons que dans le domaine des agents et de leur sécurité, la firme de Redmond est à la fois juge et partie : elle décrit un risque puis vend la solution. Elle a besoin de confiance pour vendre ses solutions basées sur l’IA (comme toute entreprise opérant dans ce domaine).
L’architecture mise en avant révèle également une certaine ambivalence. Microsoft évoque à plusieurs reprises le besoin de transparence, mais un système d’agents surveillant d’autres agents repose nécessairement sur un ou plusieurs autres modèles. Ainsi, la partie déterministe de l’infrastructure (identité, permissions bornées, accès conditionnel, bac à sable…) a beau reposer sur des principes éprouvés, elle est en contact avec une partie non déterministe, puisque fondée sur des modèles (risque dynamique, lecture du raisonnement, agents gardiens…).
Enfin, Microsoft indique dans ses annonces que son infrastructure peut se servir des chaînes de raisonnement. Mais encore faut-il que ces dernières soient exposées par les fournisseurs des modèles.
Les nouvelles conditions d’utilisation de Meta prévoyaient à partir du 30 octobre la possibilité de moissonner le contenu des pages web associées à des utilisateurs professionnels. Les organisations gérant une page Facebook ou Instagram auraient dû autoriser le géant des réseaux sociaux à aspirer les contenus de leurs sites pour entraîner les modèles IA de Meta. L’entreprise a fait marche arrière, mais les inquiétudes demeurent.
Meta voulait simplifier les conditions d’utilisation de ses services pour les utilisateurs gérant des comptes Facebook ou Instagram pour leur association, organisation ou leur entreprise. Ces conditions, qui seront mises en œuvre le 30 octobre autorisaient Meta à utiliser des logiciels automatisés (des crawlers, robots, collecteurs, bots d’indexation, agents utilisateurs) pour « accéder, indexer, mettre en cache, analyser, collecter, récupérer ou explorer les domaines, les pages Web ou les URL (…) associés à vos produits ou services ».
Le groupe de Mark Zuckerberg indiquait surtout qu’il pouvait utiliser « tout contenu [provenant de ces URL] pour fournir, développer, améliorer, rechercher, entraîner et maintenir l’intégrité des produits, des services et des fonctionnalités des entités Meta ». De quoi faire craindre le pire, notamment aux éditeurs de presse qui gèrent une page Facebook (ils sont nombreux, dont Next). Au vu de ces conditions, rien n’empêche en effet le géant des réseaux sociaux de moissonner les sites web pour entraîner ses modèles IA, sans avoir à rémunérer personne.
Des experts juridiques interrogés par Nieman Lab expliquent que les termes utilisés par Meta dans ses conditions lui donnent un accès à des contenus dont les licences lui coûteraient normalement des millions de dollars.
L’entreprise a expliqué à nos confrères que les dispositions relatives à l’exploration des sites web étaient auparavant dispersées dans différentes conditions d’utilisation. La mise à jour ne fait que les rassembler dans un même endroit. Par ailleurs, « les propriétaires de contenus peuvent toujours contrôler l’accès à leurs contenus à l’aide du fichier robots.txt », affirme aussi le porte parole.
Meta se donnant la possibilité de créer des « identifiants de test » pour explorer et collecter des données sur les sites web, la question du respect des consignes du fichier robots.txt se pose alors. La société s’engage-t-elle à les suivre également lorsqu’elle explore un site à l’aide de ces comptes de test ? La controverse a monté durant quelques heures, avant que Meta ne clarifie ses intentions auprès de Next et d’autres publications.
« Nous vous avons entendus et souhaitons apporter une précision : les conditions relatives à l’exploration automatisée du web que nous avons regroupées ne s’appliquaient qu’à nos produits publicitaires et professionnels », nous a expliqué l’entreprise. « Cela ne change pas la manière dont Meta utilise les robots d’exploration du web. Comme toujours, les propriétaires de contenus peuvent utiliser le fichier robots.txt pour indiquer leurs préférences », assure-t-elle. Surtout :
« Il n’est pas question ici de collecter automatiquement le contenu de sites d’information, et ces mises à jour ne nous accordent aucun nouveau droit qui primerait sur ces préférences ».
La précision est bienvenue, et les changements ont effectivement été apportées aux conditions. D’abord, le verbe « entraîner » a disparu, la finalité vise désormais explicitement les « produits publicitaires et commerciaux » comme la diffusion de publicités, l’information sur les produits et services, et la mise en relation avec des utilisateurs intéressés. Enfin, l’intégrité et la sécurité restent un objectif portant plus largement sur les produits des entités Meta.
L’alerte a été chaude, mais elle n’est pas passée inaperçue du côté du GESTE. Laure de Lataillade, la directrice générale du groupement des éditeurs de services en ligne, s’alarme d’un problème qui « dépasse largement le seul cas de Meta ». Elle déplore que, depuis plusieurs années, « les grandes plateformes numériques intègrent dans leurs conditions générales des clauses leur permettant d’exploiter les contenus qu’elles hébergent ou distribuent pour développer leurs technologies et services, notamment d’intelligence artificielle. »
Il n’existe pas, écrit-elle, de réelle possibilité de négociation dans ces contrats « imposés par des acteurs dont les médias dépendent fortement pour distribuer leurs contenus, toucher leurs audiences et développer leurs activités ». Les médias se retrouvent donc « entre le marteau et l’enclume », ils n’ont pas d’autre choix que d’accepter des contrats défavorables « qui peuvent les conduire à concéder des droits qu’ils cherchent précisément à protéger, sous peine de se priver de canaux de distribution devenus incontournables. »
Une des solutions préconisées par le GESTE est de séparer les autorisations nécessaires à l’hébergement et à la distribution des contenus de celles permettant leur exploitation pour l’entraînement des modèles ou d’autres usages d’IA.
Un pirate a réussi à compromettre le client officiel en ligne de commande d’OVHcloud distribué via GitHub. Pendant quelques heures, le dépôt de l’hébergeur a distribué cette version piégée, dotée d’un code malveillant capable d’extraire les secrets stockés sur l’ordinateur de l’utilisateur.
Si vous avez installé ou mis à jour puis exécuté lundi le client officiel d’OVHcloud destiné au pilotage de vos comptes en ligne de commande (CLI) depuis le dépôt GitHub dédié, votre machine est potentiellement exposée. OVHcloud a en effet signalé une compromission de son dépôt, survenue lundi 19 octobre à 14h47, par un pirate ayant exploité le compte GitHub d’un développeur de l’entreprise.
Le pirate a profité de cet accès pour remplacer le code légitime du client par une version piégée, dotée d’un binaire malveillant dont la fonction est d’extraire les secrets (mots de passe, identifiants) stockés sur le disque de la machine hôte. Les versions v0.11.0, v0.12.0, v0.13.0, v0.14.0 et v0.15.0 du client ont été modifiées. Le problème aurait été identifié et bloqué à 16h21, ce qui a laissé une fenêtre d’un peu moins de deux heures pour la diffusion.
« On vient de finir les premières vérifications et aucun autre repo n’est affecté. Nous avons aussi retracé l’incident. Le hacker a utilisé le compte github d’un des développeurs et a ajouté un binaire dont le job est récupérer les secrets sur le disque. La qualité du binaire est médiocre mais il peut aller jusqu’au bout. Si vous êtes concernés, merci de changer tous les secrets sur votre disque. », a détaillé Octave Klaba, CEO d’OVHcloud, lundi peu avant 19 heures.
La découverte de cette attaque fait suite au signalement d’un utilisateur, qui s’étonnait, via un ticket ouvert sur GitHub, d’une erreur dans sa chaîne d’intégration continue, au moment de la vérification de l’empreinte numérique de l’archive contenant l’exécutable destiné aux machines Linux sur processeur ARM.
Vers 22h30, Octave Klaba a complété son rapport avec l’analyse suivante :
« Nous avons terminé l’analyse. L’ensemble de pipelines CI/CD avec de tests unitaires, les tests fonctionnaires (sic), la détection de CVE etc n’ont pas été impactés. Le problème vient de l’option l’immutabilité des releases sur Github qui n’a pas été activée. Donc un user avec les bons droits pouvait modifier les releases existantes directement sur Github sans qu’aucun contrôle sur notre CI/CD. L’option a été activée. Fin de l’incident. Désolé pour les impacts que cela a pu provoquer. »
L’attaque semble donc liée à un problème de paramétrage du dépôt GitHub : l’option d’immutabilité des releases (voir la doc) n’était pas activée. Cette dernière a vocation à protéger les éléments qui ont été mis en ligne. Quand elle est activée, il n’est pas possible de remplacer ou de supprimer les fichiers déjà mis en ligne et si l’on veut procéder à un changement, il faut impérativement passer par la soumission d’une nouvelle version.
Ici, la modification manuelle était permise. Or les contrôles standards d’OVHcloud (ce que Klaba évoque quand il parle de tests fonctionnels ou de détection de faille de sécurité) ne s’exécutent que lorsque du code est poussé au travers de ses outils d’intégration et de déploiement continus (son pipeline CI/CD).
La nouvelle version v.016.0 du client mise en ligne lundi soir est présentée comme sûre et immuable, cette fois.
Si vous avez téléchargé et exécuté le binaire précompilé d’une des versions compromises pendant la fenêtre d’exposition, vous devez révoquer et renouveler tous les secrets présents sur votre machine, à commencer par les identifiants OVHcloud (et notamment les clés API), les clés SSH et de façon générale tous les identifiants liés à vos hébergements ou vos variables d’environnement.
Le département états-unien de la Sécurité intérieure (DHS) ordonne le retrait des produits DeepSeek et services tiers utilisant le modèle d’IA chinois des systèmes informatiques des agences civiles fédérales, rapporte l’agence Reuters. Le DHS leur interdit également d’acquérir des produits DeepSeek, ainsi que des services tiers développés à l’aide des outils de l’entreprise chinoise.
L’AFP précise que le DHS, qui a autorité sur les services civils du gouvernement (mais pas sur l’armée ni le renseignement américain), ne motive pas sa décision dans l’avis.
Reuters souligne cela dit que dans une note de service datée de juillet et rendue publique ce lundi, en annexe du mémo, le DHS avait déjà demandé aux agences fédérales de surveiller le trafic entrant et sortant des sites web gouvernementaux afin de faire face aux risques potentiels liés à DeepSeek.
Le DHS expliquait que les modèles DeepSeek comportent « plusieurs vecteurs de menace », qu’ils « peuvent contenir des logiciels malveillants ou d’autres vulnérabilités de sécurité », et que « plusieurs vulnérabilités critiques » avaient été découvertes dans son application mobile iOS en 2025.
Il s’inquiétait également du fait que l’utilisation de ce produit « pourrait entraîner le transfert de données sensibles vers la République populaire de Chine s’il était utilisé par des employés du gouvernement américain ou des prestataires ». Le DHS indiquait enfin que l’utilisation de DeepSeek par des agences gouvernementales « pourrait générer des renseignements exploitables concernant des ressortissants américains et/ou des agences gouvernementales ».
Cette interdiction n’est pas la première aux États-Unis, relève Reuters. Plusieurs agences américaines, notamment le ministère du Commerce et la Marine, avaient ainsi déjà interdit l’utilisation de DeepSeek sur les appareils gouvernementaux. Plusieurs États, dont New York, le Tennessee et la Virginie, avaient pris des mesures similaires.
En juillet, la Federal Communications Commission (FCC) avait par ailleurs voté l’interdiction de la vente aux États-Unis d’appareils contenant des composants matériels clés provenant d’entreprises chinoises considérées comme présentant un risque pour la sécurité nationale. La FCC avait aussi proposé d’interdire aux opérateurs de télécommunications américains de s’interconnecter avec des entreprises de télécommunications chinoises considérées comme présentant un risque pour la sécurité nationale.
En octobre 2023, Next INpact devenait Next après une longue traversée du désert. L’équipe avait alors formulé un certain nombre d’envies, de promesses et d’engagements. Trois ans plus tard, il est temps pour un petit point d’étape.
J’en connais quelques-uns qui n’en menaient pas large, il y a trois ans et quelques jours, au moment de monter sur scène. Le 16 octobre dernier marquait en effet le troisième anniversaire de la soirée organisée pour présenter les grandes lignes du projet visant à sauver un journal mourant, et à le relancer avec l’ambition tout à fait assumée d’en faire l’un des meilleurs médias tech de la scène francophone.
Sans refaire tout le match, il faut tout de même rappeler d’où l’on vient. À l’été 2023, Next INpact est exsangue, même si sa communauté a toujours répondu présent lors des appels à soutien financier lancés pendant deux ans. Arrive alors Ferdinand, dit Ferd, patron de moji, tel un lapin sorti du chapeau. Il se propose de racheter le site et de lui donner les moyens nécessaires à sa renaissance, en garantissant qu’il n’interférera pas avec la ligne éditoriale. La transaction est bouclée le 26 septembre 2023.
À peine trois semaines plus tard, rendez-vous était donc donné à Nanterre pour célébrer un nouveau départ. À l’époque, on parlait d’ « un pacte » passé avec les lectrices et lecteurs. Au-delà du jeu de mot, le terme n’était pas anodin : un pacte, c’est une forme de contrat. Cet anniversaire mérite bien qu’on revienne sur les engagements formulés lors de cette soirée.
Avant la bascule, Next INpact tentait de reposer sur un modèle hybride qui combinait publicité, essentiellement via l’affiliation, abonnements et dons. La première décision, et sans doute la plus radicale, a consisté à totalement couper les leviers publicitaires et les appels de soutien, en partant du principe que seule la qualité du média et sa capacité à se traduire en abonnements permettraient de le sauver.
Le pari était doublement risqué, puisqu’il revenait à sabrer une ligne de revenus tout en alourdissant les dépenses, le tout sur la base d’un compte d’exploitation tirant vers le rouge écarlate. Il s’est accompagné d’une simplification de la grille tarifaire, avec un prix unique à 8 euros par mois ou 80 euros par an.
Ce prix n’a finalement pas bougé depuis, alors que le pacte initial prévoyait une hausse à 10 euros par mois. Tandis que l’offre tarif solidaire à 25 euros par an s’étend à un public plus large, des moins de 25 ans aux petits revenus.
Comme signalé au printemps 2025, nous avons en revanche mis un terme à la politique de « libération » automatique des articles réservés aux abonnés afin de défendre la valeur de nos archives. Elles constituent, elles aussi, une bonne raison de s’abonner, et nous souhaitions accessoirement éviter que ces articles, parfois à très forte valeur ajoutée, aillent enrichir de grands modèles de langage.
L’autre grand engagement concernait la promesse éditoriale de Next, désormais considérée comme le principal moteur du média : c’est depuis fin 2023 la qualité des articles, le choix des sujets, la profondeur des analyses ou le caractère exclusif des enquêtes qui doivent vous convaincre de vous abonner, et non les appels à l’aide jouant sur la corde sensible.
Dès la reprise, l’effectif a été pérennisé avec la confirmation en CDI de deux postes précédemment rémunérés sous forme de piges.
Trois ans plus tard, la rédaction évolue toujours en totale indépendance, et elle compte aujourd’hui huit journalistes à temps plein (Flock étant du nombre, au titre de dessinateur de presse) suite à l’arrivée de Mickaël au printemps. Et même si Mathilde a pris la décision de voguer bientôt vers de nouveaux horizons, cet effectif a vocation à être maintenu et même encore renforcé.
Cette dynamique se ressent de façon concrète dans le volume de publications de notre flux quotidien, qui s’est largement étoffé depuis 2023 et qui constitue aujourd’hui une offre unique dans le paysage médiatique francophone (voire mondial, soyons fous).
Après tout, vous en connaissez beaucoup, des médias capables de proposer, sur une seule et même semaine, une enquête sur un serial spammer de sites générés par IA, un entretien au long cours sur la technicisation de la gestion de l’immigration, un comparatif d’offres d’hébergements premier prix, des révélations sur l’incurie d’un fabricant de jouets connectés, un point de situation sur le financement de la recherche, un retour sur 30 ans d’évolutions de KDE, un tour d’horizon des nouveaux possibles au croisement entre IA et jeu vidéo et un strip mordant qui révèle, enfin, d’où viennent les attaques qui font s’arracher les cheveux aux experts de l’ANSSI ?
Ces quelques exemples récents sont le reflet d’une ligne éditoriale toujours fidèle à ses fondamentaux, à savoir une approche à la fois experte et critique du numérique, de la tech et de l’intelligence artificielle, ainsi que de leurs impacts sur la société et l’environnement.
À l’heure où les débats se clivent entre fascination béate et rejet de principe, il nous semble primordial de continuer à analyser la tech, son cadre et ses enjeux avec rigueur. Ça n’interdit pas de défendre des valeurs humanistes et d’assumer des prises de position, mais ces dernières doivent reposer sur la lecture des faits… dans les articles comme dans les commentaires !
À ce niveau, on peut d’ailleurs se réjouir de la qualité des échanges au sein de la communauté : le ton monte parfois, mais les discussions restent le plus souvent de bonne facture et les interventions de modération se sont faites rares.
L’inflexion positive de la courbe d’abonnés nous renforce dans l’idée qu’il est pertinent d’investir et de tout faire pour sortir des difficultés par le haut, plutôt qu’en recourant à des expédients de type actus générées par IA au kilomètre ou multiplication des leviers de monétisation. Il reste encore du chemin, dans la mesure où les recettes liées aux abonnements ne couvrent pas encore les salaires de la rédaction, mais le curseur se déplace, petit à petit, dans la bonne direction.
Pour favoriser le mouvement, de nombreux chantiers plus discrets ont été menés ces derniers mois. Outre l’introduction du stockage comme avantage offert à nos abonnés, le code du site a fait l’objet d’un travail en profondeur visant à stabiliser et fiabiliser notre environnement de production.
Nous avons introduit la possibilité d’offrir des « codes cadeaux » et repensé une partie du parcours d’abonnement, notamment pour les entreprises.
Nous disposons également depuis peu d’une formule « Institutions », qui permet par exemple à une grande université de l’Ouest d’offrir un accès complet aux articles de Next à tous les étudiants, enseignants et personnels connectés via le réseau de son campus.
Next participe par ailleurs depuis plus d’un an au renouveau de La Presse Libre, qui permet d’accéder à huit médias indépendants (bientôt rejoints par d’autres) dans le cadre d’un abonnement unique. La plateforme vient d’ailleurs d’inaugurer la nouvelle version de son site web, qu’on vous encourage chaudement à découvrir.
À cette occasion, elle propose d’ailleurs une promotion exceptionnelle réservée aux nouveaux clients, avec un abonnement à 12 euros par mois sans limitation de durée. Et si vous souhaitez garder votre abonnement Next en propre, vous pouvez via ce même lien vous offrir l’accès à La Presse Libre pour 4 euros supplémentaires par mois (mince, j’ai menti, c’est un bon plan !).
La route est encore longue. Entre autres dossiers, nous devons par exemple améliorer la capacité de nos articles à être vus. Même si nous avons la chance de pouvoir compter sur un lectorat fidèle qui nous rend visite indépendamment des algorithmes de recommandation, le sujet de la visibilité reste crucial pour Next.
Il l’est pour l’ensemble de la presse en ligne, mais pas pour les mêmes raisons : là où la chute d’audience se traduit pour beaucoup de nos confrères par une perte de revenus publicitaires, l’enjeu, pour nous, est de permettre à nos articles de trouver leurs lectrices et lecteurs, et à ceux qui ne nous connaissent pas encore de nous découvrir.
Cette problématique ne se limite pas au référencement Google ou à la présence sur les réseaux sociaux. Elle concerne aussi notre site et sa capacité à permettre de naviguer plus efficacement dans nos archives. Ces dernières regorgent de pépites qui se retrouvent rapidement chassées du flux d’actualités principales, et nous devons donc trouver d’autres façons, thématisées par exemple, de les exposer.
Mais en définitive, le principal défi consiste à rester fidèles aux engagements de ce fameux pacte, puisqu’un pacte se tient à deux. Nous continuerons donc à poursuivre cet objectif primordial de qualité et à vous en rendre compte, au quotidien dans les commentaires, au détour de quelque date anniversaire, ou autour de sujets plus spécifiques, dès cette semaine par exemple avec la publication de notre charte sur l’utilisation de l’IA générative.
Et vous qui nous lisez, vous en restez juges. Merci de votre soutien !
Next vaincra
La mission spatiale japonaise Martian Moons eXploration doit décoller ce soir du Japon en direction de deux satellites de Mars : Phobos et Déimos. Elle doit déposer sur le premier le rover Idefix développé notamment par le CNES.
L’agence spatiale japonaise Jaxa s’apprête à lancer, ce soir et depuis l’île de Tanegashima (Japon) sa mission MMX (Martian Moons Exploration) à bord d’une fusée H3. Celle-ci a pour but de connaitre un peu mieux la planète rouge en allant observer ses deux satellites que sont Phobos et Déimos. Et même de rapporter des échantillons provenant du premier !
Si elle réussit, ça sera la première mission scientifique à rapporter des échantillons venant de Mars. Rappelons que les États-Unis ont décidé, en début d’année, d’abandonner les échantillons recueillis sur Mars par le rover Perseverance : la mission Mars Sample Return a été tout bonnement annulée.
Concernant MMX, l’avenir du projet reste au beau fixe. La JAXA propose de suivre le lancement ce soir sur sa chaine YouTube. Comme nous l’expliquions déjà il y a 9 ans, l’idée principale est donc de faire un aller-retour vers Mars avec une escale sur Phobos.
Comme le souligne le Journal du CNRS, l’idée d’aller explorer Phobos s’explique aussi parce que l’origine des deux satellites de Mars reste mystérieuse : « Il y a deux théories, résume Patrick Michel, astrophysicien et directeur de recherche CNRS à l’Observatoire de la Côte d’Azur. Phobos et Déimos ressemblent à des astéroïdes, et auraient ainsi pu être capturés par la force d’attraction gravitationnelle de Mars. Mais leur trajectoire paraît bien étrange. Il pourrait donc s’agir du résultat d’un impact géant, mais ce n’est pas ce que nous montrent les observations sur sa composition pour l’instant. »
L’agence spatiale japonaise prévoit d’abord un voyage d’une année pour arriver aux alentours de Mars. Sa sonde amène avec elle neuf instruments, dont le spectromètre à neutrons et rayons gamma baptisé MEGANE développé par la NASA et MIRS, un spectromètre imageur infrarouge développé par le Laboratoire d’Etudes Spatiales et d’Instrumentation en Astrophysique (LESIA) en partenariat avec le CNES. MIRS doit « permettre de caractériser la composition minéralogique de la surface des lunes de Mars et l’analyse de l’atmosphère martienne. Il va permettre de participer à la sélection des sites d’atterrissage de MMX », explique le CNES.
Car l’idée est ensuite de récupérer des informations sur Phobos pour connaître sa topologie et chercher des dizaines de sites d’atterrissage potentiels pour déterminer le meilleur endroit pour s’y poser.
Ensuite, la mission doit envoyer son rover pour observer la surface du satellite de Mars. Ce rover s’appelle Idefix. Il a été développé par le CNES en collaboration avec le Centre allemand pour l’aéronautique et l’astronautique (Deutsches Zentrum für Luft- und Raumfahrt, DLR). Si vous voulez vous amuser à en imprimer une copie, le CNES a même partagé les plans.
Si tout va bien, Idefix pourra ensuite donner des indications à la sonde principale de la mission pour qu’elle puisse à son tour atterrir sur Phobos. Elle y collectera 10 g d’échantillons pour qu’ils soient analysés plus tard sur Terre. Après quelques observations supplémentaires sur Phobos, MMX passera par le deuxième satellite de Mars, Deimos, pour l’observer aussi, puis repartira des environs de Mars en 2030. La JAXA espère récupérer tout ce beau monde en 2031.
La faille CVE-2026-99999, surnommée PwnEscape, affecte la plupart des noyaux Linux actuellement maintenus. Elle n’est pas présente dans le nouveau noyau 7.3, mais la mouture 7.2 (entre autres) est touchée, nécessitant l’installation de la dernière révision.
Exploitée, cette faille permet à du code exécuté dans une machine virtuelle invitée de lire la mémoire du noyau de l’hôte.
À qui incombe la faute ? Pas à KVM ni à un hyperviseur en particulier. La vulnérabilité se trouve dans la pile IPv4 du noyau de l’hôte. Avec des métadonnées de somme de contrôle (checksum) erronées, le code de calcul de cette somme peut ainsi écrire sur un en-tête IPv4 que le noyau a déjà lu et exploité. En exploitant cette brèche, chaque paquet émis par l’invité pouvait ramener environ 32 octets de la mémoire de l’hôte.
La faille a été trouvée par le chercheur Paulos Yibelo dans le cadre d’un concours organisé par Vercel. Cette société indique dans son propre billet qu’en conditions de laboratoire, PwnEscape a même permis d’obtenir les droits administrateur sur l’hôte, ou de planter ce dernier. La société précise cependant que seule la lecture de la mémoire de l’hôte a été démontrée en infrastructure de production.
Vercel ajoute qu’elle a pisté l’origine du problème à deux modifications : la prise en charge de l’en-tête virtio-net pour les périphériques tun/tap (2008, selon AlmaLinux) et le délestage de somme de contrôle pour les sockets de paquets (2010). En d’autres termes, la faille est présente depuis 18 ans.
Conséquence, de nombreuses nouvelles versions ont été publiées pour les noyaux actuellement supportés : 5.10.272, 5.15.223, 6.1.190, 6.6.159, 6.12.113, 6.18.57 et 7.2.11. À noter que les outils comme uname indiquant le numéro de version ne sont pas toujours représentatifs de l’état de la sécurité, car les distributions rétroportent souvent des correctifs sans changer le numéro de version. Il faut donc s’assurer pour chaque distribution que l’avis de distribution a bien été publié pour cette faille.
Enfin, il ne s’agit pas d’une faille 0-day. Paulos Yibelo indique dans son billet avoir signalé le problème en privé aux mainteneurs du noyau le 4 septembre. Le correctif a été accepté dans l’arbre réseau le 8 octobre et intégré au noyau principal le 14. Le bulletin CVE et les versions stables corrigées ont été publiés dès le lendemain (on peut voir la liste sur kernel.org). La précision est importante : Vercel évoque « the kernel-zero-day », mais l’expression semble renvoyer au fait que les mainteneurs du noyau ne connaissaient pas ce problème jusqu’à présent.
La faille ne semble pas exploitée. Toutefois, le chercheur précise que ses correctifs proposés ont fait l’objet de soumissions publiques sur la liste netdev entre les 19 et 22 septembre. La nature du problème y était clairement consultable, plusieurs semaines avant le CVE.
Drupal, une solution libre de CMS (système de gestion de contenu), a corrigé le 14 octobre deux failles critiques de type RCE (Remote Code Execution). Elles permettent donc, si exploitées, de faire exécuter un code arbitraire à distance.
La première faille, CVE-2026-108097 (bulletin SA-CORE-2026-014), touche le module Field UI du cœur de Drupal. Le bulletin la classe « critique » avec un score de 19 sur 25, mais ne donne pas directement le score CVSS. Celui-ci est de 9,8 sur 10, frôlant ainsi le maximum de dangerosité.
Drupal indique que le cœur seul ne permet pas d’exploiter cette faille directement, mais plusieurs chemins d’exploitation sont possibles via des modules contribués, c’est-à-dire créés et gérés par la communauté (Drupal ne fournit que les modules du cœur). Drupal ne donne cependant pas la liste des modules tiers en question. La faille peut également être exploitable avec du code spécifique au site. Au moins un des chemins d’exploitation ne réclame aucune authentification.
L’autre faille, CVE-2026-108099 (SA-CONTRIB-2026-218), touche le module contribué Entity List, qui sert à construire des listes d’entités sans passer par Views. Elle aussi exige l’interaction avec des modules contribués ou du code spécifique, avec au moins un chemin sans authentification là encore. Le score CVSS n’est pas encore disponible, mais la faille est probablement aussi dangereuse que la première, car Drupal lui attribue sa propre note de 19/25, le même score que la faille CVE-2026-108097.
Toutes les versions du cœur actuellement supportées sont concernées. Les correctifs sont disponibles dans les moutures 11.4.10, 11.3.19 et 10.6.19. Les versions 11.2.x et antérieures, ainsi que 10.5.x et antérieures, ne reçoivent plus de suivi de sécurité, et Drupal 8 et 9 sont en fin de vie. Pour Entity List, il faut passer en version 3.0.10.
À noter que Drupal propose une mesure d’atténuation pour la faille CVE-2026-108097 dans le cas où la mise à jour ne peut pas être appliquée tout de suite : désinstaller le module Field UI. Aucune mesure n’a en revanche été donnée pour l’autre vulnérabilité. Au vu de la dangerosité de ces failles, il est chaudement recommandé de mettre à jour les sites concernés sans attendre.
À noter qu’aucune de ces failles n’était a priori exploitée au moment de la publication des bulletins.
VPS1Euro propose des VPS à un prix plancher… mais avec de trop nombreuses lacunes sur les performances et la (cyber)sécurité. Matériel en fin de vie, correctifs de sécurité appliqués avec sept ans de retard, performances complètement à la ramasse sur le stockage… la liste des griefs est longue. L’hébergeur annonce du changement à venir.
Comme son nom l’indique, chez VPS1Euro les VPS sont à partir de 1 euro. Mais le prix est hors taxe ; pour la France cela donne 1,2 euro. Comme Ikoula, vous pouvez faire varier le nombre de cœurs virtuels (vCore), la quantité de mémoire vive et de stockage, mais aussi la bande passante publique, le nombre de VLANs, etc.
Comme notre instance Stardust de Scaleway à moins de 1 euro, VPS1Euro ne propose pas d’IPv4 par défaut, uniquement de l’IPv6. Vous pouvez commander une IPv4 si besoin, pour 3 euros par mois. Nous avions configuré NAT64 chez Scaleway, alors que c’est en place par défaut chez VPS1Euro : « Profitez de VPS modernes, 100 % IPv6-Ready, avec compatibilité IPv4 via NAT64 et Cloudflare Proxy », peut-on lire sur le site.
En pratique, il suffit de regarder le fichier /etc/resolv.conf de notre VPS pour comprendre le fonctionnement. Il a deux lignes pour nameserver (serveur de noms, les DNS) : 2a01:4f9:c010:3f02::1 et 2a01:4f8:c2c:123f::1. Ce sont les résolveurs DNS publics du service NAT64, respectivement à Helsinki et à Nuremberg. VPS1Euro s’appuie donc sur une solution tierce.
Quand le serveur veut joindre un site ou un service accessible en IPv4 uniquement, il interroge un résolveur à Helsinki ou Nuremberg, qui renvoie vers une passerelle à Helsinki (chez Hetzner), à Londres ou à Amsterdam (chez Mythic Beasts). Cette configuration par défaut permet certes d’avoir de l’IPv4, mais au prix d’une latence plus importante à cause des détours par NAT64. Dans notre cas, nous avons pingé un de nos VPS à Gravelines chez OVHcloud : 10 ms en IPv6 natif, contre 17 à 50 ms en IPv4 suivant la passerelle ; aucune n’est en France et elle change aléatoirement.
Pour compléter cette partie, le réseau de VPS1Euro (AS216075, enregistré au nom de l’association Zenyx) sort à Paris (les serveurs sont certainement ailleurs, car reliés par un tunnel avec une latence de 5 ms environ) puis passe par un unique fournisseur de transit, Geniusweer.
Nous restons sur l’offre de base : 1 cœur Intel Xeon (sans plus de précision), 1 Go de mémoire, 20 Go de stockage et 100 Mb/s de bande passante. Niveau système d’exploitation, c’est assez classique, mais pas toujours de la dernière fraicheur : Ubuntu 22.04 et 24.04 LTS (la 26.04 LTS est disponible depuis avril), Debian 13 et Fedora 42 (la dernière stable est la 44).
Première chose à faire, se créer un compte sur VPS1Euro. Nous payons ensuite notre commande et recevons par email un résumé, avec l’IPv6 de notre serveur, une adresse proxy en IPv4 pour SSH si besoin, l’identifiant (root) et… le mot de passe de notre compte (alphanumérique, avec huit caractères). Oui, le mot de passe est envoyé en clair, par email (autant dire dans une carte postale)
Une demande de réinitialisation nous renvoie un autre mot de passe, toujours par email, en clair et sans obligation de le changer. Ce n’était que la première étape d’une série de déconvenues avec notre serveur… Des évolutions sont en cours, nous y reviendrons.
Une fois connecté en SSH via PuTTY, nous faisons un rapide tour du propriétaire : LXC (LinuX Containers) est aux commandes, comme chez LWS et Yorkhost. C’est la technologie utilisée pour la virtualisation des serveurs, ce qui n’est pas sans conséquence pour les clients.
Après la baisse des budgets de la recherche en France, la Cour des comptes plaide pour une baisse du nombre d’unités mixtes de recherche (UMR), ces laboratoires dans lesquels organismes de recherche et universités mettent des moyens en commun au service d’un même projet scientifique. Au risque de raviver la colère dans le milieu contre ce que l’ancien PDG du CNRS avait appelé les « key labs ».
La Cour des comptes acte que les gouvernements successifs français n’ont pas augmenté le budget de la recherche en France (public et privé) de manière à ce qu’il atteigne l’objectif longtemps planifié de 3 % de PIB. Dans un rapport sur les unités mixtes de recherche (UMR), la juridiction administrative en profite pour remettre sur l’établi le projet des « key labs » que le gouvernement et le PDG du CNRS de l’époque, Antoine Petit, avaient abandonné début 2025 après le mouvement de défiance qu’il avait suscité au sein de l’organisme.
La juridiction administrative, dirigée depuis février par l’ancienne ministre de l’Action et des Comptes publics Amélie de Montchalin, a publié récemment un rapport [PDF] sur les unités mixtes de recherche (UMR), une organisation « sans équivalent au monde » mise en place en France dans les années 1960 pour créer des laboratoires communs entre universités et organismes de recherche comme le CNRS (l’organisme qui y est de fait le plus impliqué), l’Inria, l’Inserm ou encore le CNES, par exemple.
La Cour des comptes y constate que la France « ne consacre que 2,18 % [chiffre 2023] de son PIB à la recherche, alors que six États de l’Union européenne, dont l’Allemagne, atteignent l’objectif de 3 % fixé dans le cadre de la stratégie de Lisbonne ».
Lateo.net - Flux RSS en pagaille (pour en ajouter : @ moi) 