Les doigts sur le Mac

Seuls les imbéciles ne changent jamais d’avis. Après avoir longtemps expliqué pourquoi un écran tactile n’avait rien à faire sur un Mac, Apple en équipe ses nouveaux MacBook Pro OLED vendus au prix fort.

Plus rien n’est sacré chez Apple, et surtout pas la parole de Steve Jobs. En 2007, durant la présentation de l’iPhone, il avait alors dit tout le mal qu’il pensait des stylets pour les téléphones de l’époque. Résultat : l’iPhone Duo est compatible avec l’Apple Pencil. Trois ans plus tard, durant une keynote consacrée aux Mac, Jobs avait expliqué pourquoi le constructeur privilégiait les trackpads aux écrans tactiles, qui se démocratisaient sur les PC Windows à l’époque.

« Les surfaces tactiles ne sont pas faites pour être verticales », expliquait-il. « Ça fait son petit effet dans les démonstrations, mais au bout d’un moment, la fatigue se fait sentir et, à la longue, vous avez l’impression que votre bras va tomber. » En 2012, c’était Tim Cook qui, durant des résultats trimestriels, critiquait les hybrides PC-tablettes : « On peut combiner un grille-pain et un réfrigérateur, mais le résultat ne sera probablement pas très agréable à utiliser. »

Après avoir vécu des décennies dans le déni, voilà qu’Apple lance aujourd’hui… un MacBook Pro avec écran tactile. Sans apporter de réponse vraiment convaincante aux objections de ses deux précédents CEO, le tout à un prix ahurissant.

Apple découvre les joies de l’écran qu’on touche

Le MacBook Pro avec écran PROLED XDR, c’est bien son nom, troque le mini-LED pour de l’OLED de 14,2 ou 16,3 pouces (254 pixels par pouce). Apple ne faisant rien comme tout le monde, il s’agit d’un écran « en tandem » qui maintient « une luminosité et des niveaux de gris uniformes sur l’ensemble de l’écran tout en réduisant au minimum les reflets internes courants des designs OLED traditionnels ». On se demande comment faisaient les constructeurs concurrents qui proposent des portables OLED depuis des années.

OLED oblige, la dalle affiche un contraste très élevé (10 000 000:1), et propose une luminosité allant jusqu’à 2 000 nits pour les contenus SDR et HDR, avec une luminosité minimale de 1 nit. Contrairement à l’iPad mini qui malgré son nouvel écran OLED reste cantonné à du 60 Hz, ce MacBook Pro bénéficie d’un rafraîchissement ProMotion de 10 à 120 Hz. Que va-t-on bien pouvoir faire avec tout ça ? Les graphistes fortunés pourront profiter du support de la gamme de couleurs P3 et désormais Adobe RGB.

L’autre grande nouveauté de ce portable, c’est bien sûr qu’on peut mettre les doigts sur l’écran. Faire défiler une page web, zoomer dans une photo, glisser-déposer des documents, toucher une fenêtre deux fois pour l’afficher en plein écran… Tout ce qu’on a l’habitude de faire sur un iPhone ou un iPad devient possible sur ce Mac. Dommage qu’il ne prenne pas en charge les Apple Pencil ; niveau précision, rien ne vaudra donc ce bon vieux trackpad naturellement positionné sous la main. La charnière a d’ailleurs été repensée pour éviter de déséquilibrer le portable avec les mouvements tactiles.

John Ternus, le directeur général d’Apple, ne surjoue pas la partition de la révolution. Dans une interview à WIRED, il explique que le Mac « reste avant tout un appareil à interaction indirecte, conçu autour du trackpad et du clavier. Mais je pense qu’il y a des moments où le tactile est agréable et pratique. »

« Il fallait que nous arrivions à un stade où l’ajout du tactile ne compromette en rien le produit. Qu’il ne le rende ni plus lourd ni plus épais. Nous y sommes parvenus avec l’écran OLED, le meilleur écran que nous ayons jamais intégré à un Mac. Tout cela, avec, en prime, le tactile. »

Poids plume, mais une facture qui s’alourdit

Si ce MacBook Pro fait toujours l’impasse sur Face ID, il gagne en revanche une Dynamic Island, comme sur l’iPhone. L’encoche disparait donc, et ce poinçon dans l’écran est aussi une zone où s’affiche des activités en direct (comme le lecteur audio) et des notifications.

Sur le plan matériel, le MacBook Pro avec écran PROLED XDR a été conçu dans un châssis plus fin et plus léger. Le modèle 14 pouces pèse ainsi 1,38 kg contre 1,6 kg pour le modèle sans écran tactile. La version tactile de 16 pouces revient à 1,82 kg, au lieu de 2,14 kg sur le MacBook Pro similaire mais pas tactile. Les nouveaux portables réduisent aussi leur épaisseur respectivement de 0,5 et 1 mm. L’architecture thermique a été repensée pour accommoder le châssis.

Au niveau des puces, pas de miracle : Apple confie les rênes du MacBook Pro tactile aux M5 Pro et M5 Max déjà à l’œuvre sur la gamme actuelle des 14 et 16 pouces classiques. Seule la version d’entrée de gamme a eu droit cette semaine à une puce M6. Pas de changement non plus pour les entrées/sorties, avec les 3 ports Thunderbolt 5 en USB-C, un port HDMI, un lecteur de carte SDXC et un port jack (ouf).

En termes d’autonomie, on reste sur les mêmes durées que les modèles actuels : jusqu’à 14 heures de navigation sans fil pour le 14 pouces, et 17 heures sur le 16 pouces. La capacité des batteries n’a pas changé (72,6 Wh et 100 Wh).

Le MacBook Pro classique 14 pouces avec M5 Pro commence à 2 899 euros, et le 16 pouces M5 Pro à 3 399 euros, ce qui n’est déjà pas à la portée de la première bourse venue. Le MacBook Pro avec écran PROLED XDR (il va falloir s’y faire) est logiquement encore plus onéreux. Le 14 pouces débute à 3 299 euros avec une puce M5 Pro, et 5 199 euros avec une M5 Max. Le 16 pouces commence à 3 899 euros (M5 Pro) et 5 599 euros (M5 Max). C’est avant l’ajout d’options de mémoire et de stockage. Par défaut, ces portables sont fournis avec 24 Go de mémoire unifiée et 1 To de stockage.

Envie d’un sandwich à la crème glacée fondue ?

Next vous explique comment donner une seconde vie à une tablette de 15 ans, bloquée sous Android 4.0 : elle peut devenir un écran déporté pour Home Assistant et ainsi gérer la domotique de la maison. Cela demande quelques manipulations, mais le résultat est à la hauteur des attentes.

Que faire d’une tablette qui a déjà 15 ans ?

Au fond d’un tiroir dans la Gavcave se cachait une tablette ASUS Eee Pad Transformer TF101 (cette gamme est ensuite devenue Transformer Pad). Lancée en 2011 (il y a donc déjà 15 ans) elle dispose d‘un écran de 10,1″ (1 280 x 800 px) avec un Tegra 2 aux commandes épaulé par 1 Go de mémoire vive.

Lancée avec Android 3.0, elle était par la suite passée sous Android 4.0 (alias Ice Cream Sandwich), la version installée sur notre tablette. Une fois branchée, elle est revenue d’entre les morts d‘un simple appui sur le bouton Power.

La batterie tient encore relativement bien pour son âge et ne montre aucun signe d’usure particulier (aucun gonflement par exemple). Elle sera par contre à surveiller de près, surtout si la tablette reste branchée en permanence.

Une question s’est alors posée à nous : qu’en faire ? La déposer pour recyclage est une solution, une autre est de la réutiliser… mais pour quel usage ? Avec Android 4.0, il est impensable d’aller sereinement sur Internet, la tablette n’a plus aucune mise à jour depuis de nombreuses d’années.

Pire encore, le système ne supporte que TLS 1.0 nativement, même pas les 1.1, 1.2 et 1.3. Sans oublier que son navigateur et son SoC (qui ne supporte même pas les instructions NEON) ne prennent pas en charge les technologies récentes. Notre point de départ est de l’utiliser telle quelle, sans passer par l’installation d’une ROM alternative, comme KatKiss avec Android 7 (qui n’est plus supporté depuis des années lui non plus).

Surfer sur Internet on oublie, contrôler sa domotique par contre…

Bref, oublions le moindre accès à Internet… mais on a tout de même tenté. La plupart des sites refusent de s’afficher. La page d’accueil de Google se charge, mais la moindre recherche plante. Il reste des pages en HTML qu’il est possible de charger. Nous avons alors tenté de transformer la tablette en écran de contrôle Home Assistant.

Ça marche ! Il devrait en être de même sur d’autres tablettes du même âge bloquées sous une version antédiluvienne d’Android avec un matériel qui aurait davantage sa place dans un musée. Voici les explications et le code que nous avons utilisé.

No kings, ça s'adresse aussi à Mark ?

Alors que les élections de mi-mandat arrivent, Mark Zuckerberg est sommé par des élus démocrates de s’expliquer sur le blocage temporaire d’un compte « No Kings » qui co-organise des manifestations aux États-Unis contre l’autoritarisme de Donald Trump.

Le compte Instagram No Kings Coalition est maintenant accessible et l’équipe qui le gère a de nouveau la main dessus. Mais le 17 octobre, ce compte a été suspendu pendant un peu plus d’une heure, sans pouvoir être administré pendant plus de trois heures. Meta s’est excusée et a affirmé que c’était un problème technique, mais la question est reprise par des élus démocrates alors que la campagne électorale des mid-terms arrive à sa fin.

Cette campagne politique reprend le mot d’ordre « No Kings » qu’on peut retrouver régulièrement dans les manifestations contre Donald Trump aux États-Unis depuis octobre 2025. Le dirigeant avait critiqué, il y a un an, ce mouvement avec une vidéo scatologique générée par IA.

Le compte No Kings Coalition a plus de 27 000 abonnés et, au-delà de ces manifestations, pousse les états-uniens à aller voter (notamment en avance et par correspondance, puisque le système électoral de nombreux États le permet) avec des slogans comme « vote early ».

Meta explique le problème par une utilisation intensive de Claude

Les animateurs du compte semblent utiliser des outils d’automatisation et c’est ce genre de pratiques qui auraient, selon Meta, déclenché le blocage du compte. « Lorsque des comptes publient, partagent ou commentent à une fréquence très élevée, cela peut déclencher des systèmes automatisés. C’est ce qui s’est produit avec le compte Instagram « No Kings » à l’approche de la journée d’action d’aujourd’hui » affirmait Andy Stone le 18 octobre , porte-parole de Meta. « Malheureusement, cette intervention automatisée était manifestement une erreur. Tout fonctionne désormais comme il se doit et nous vous présentons nos sincères excuses », a-t-il ajouté.

L’équipe en charge du compte a posé huit questions à l’entreprise dans une lettre ouverte [PDF] pour en savoir plus. Comme par exemple : « Quelles actions spécifiques menées par le compte No Kings Coalition auraient enfreint les règles de Meta, et quelles règles étaient concernées ? ». L’entreprise a expliqué le blocage par « le fait que [ses] systèmes de sécurité réseau ont détecté une augmentation spectaculaire de l’utilisation d’un outil Claude pour analyser les profils, les publications et les hashtags ». « Par rapport à ce que [ses] systèmes avaient observé auparavant, le rythme de cette activité a été multiplié par quatre environ lors de pics intenses le 17 octobre », a-t-elle ajouté.

Une réponse qui ne satisfait pas les activistes

Cette réponse n’a pas suffi à No King Coalition qui demande [PDF] à Meta de répondre aux « questions plus générales de transparence, de responsabilité et d’ingérence potentielle dans les communications publiques au cours d’une élection encore en cours ».

L’équipe est donc maintenant soutenue par deux membres démocrates de la Chambre des représentants des États-Unis, Robert Garcia et Jamie Raskin. Dans une lettre ouverte [PDF] à Mark Zuckerberg, les élus demandent eux aussi plus de détails car « Meta a la responsabilité de ne pas porter atteinte à l’intégrité de nos élections ni d’enfreindre le droit du public à mener des activités politiques protégées par la Constitution », écrivent-ils. Ils demandent à l’entreprise de leur présenter, « au plus tard le 9 novembre 2026, un exposé sur ses mesures en matière de sécurité électorale et sur ces incidents ».

Dans leur lettre, les deux élus font aussi référence aux élections au Brésil où Meta a été sommée par la justice de prouver qu’elle ne faisait pas d’ingérence.

• Ce que la réélection de Lula nous dit du terrain médiatique numérique

Le saviez-vous ? Il existe une version de Copilot pour les télés connectées, mais les jours de cet assistant sont comptés. LG a en effet commencé à prévenir les utilisateurs de ses téléviseurs sous webOS que « Microsoft a récemment décidé de mettre fin à la prise en charge de Copilot sur tous les téléviseurs, y compris les fonctionnalités intégrant Copilot proposées sur nos téléviseurs LG ». La fenêtre pop-up est partagée par Windows Central.

Par conséquent, Copilot va tirer le rideau entre aujourd’hui et la fin de l’année, au moins sur les télés LG. Microsoft n’a cependant pas communiqué officiellement sur le sujet. L’arrivée de l’assistant ne s’était pas faite dans la douceur : en fin d’année dernière, LG et Samsung avaient installé l’application Copilot sur leurs smart TV automatiquement. Une app impossible à supprimer, d’après des témoignages de l’époque.

Dans les faits, on peut se demander si un téléspectateur a jamais utilisé les services de Copilot depuis son canapé. Il peut poser des questions en lien avec ce qui se passe à l’écran, recevoir des recommandations personnalisées de contenus, ou encore demander la météo ou une précision sur telle ou telle actualité.

C’était à un moment où Microsoft voulait encore imposer Copilot partout, parfois en dépit du bon sens. L’éditeur a retrouvé une certaine sobriété depuis. Le projet d’intégrer Copilot dans Xbox a finalement été abandonné au printemps. En septembre, il rassemblait toutes ses applications en une seule (quitte à complexifier l’utilisation de l’assistant). Plus largement, Microsoft a aussi décidé de mettre (un peu) de côté l’IA pour serrer les boulons d’un Windows 11 tout de guingois.

Merci qui ? Merci l’IA

Apple ouvre Xcode et Keynote à de nouveaux formats de fichier basés sur JSON. Il s’agit en priorité de faciliter la vie des agents IA, mais les développeurs de chair et de sang vont aussi en profiter.

Depuis sa version 27.2, Xcode, l’environnement de développement d’applications d’Apple, propose un nouveau format de projet (.xcproj) basé sur JSON. Il en ira bientôt de même pour l’application de présentation Keynote avec la prise en charge à venir des fichiers .keyx (Keynote Interchange Format), un format qui repose lui aussi sur JSON.

Des fichiers plus faciles à lire et à modifier

Apple vante des formats plus faciles à exploiter par les outils tiers et les agents IA. Le xcproj est « plus simple à modifier pour les agents IA », tandis que le keyx est conçu pour être « lisible et accessible aux outils externes, aux workflows de développeurs et aux agents d’IA ». En ce qui concerne Xcode en particulier, les développeurs réclamaient depuis des lustres un format de fichier moins complexe et plus lisible.

Comme son acronyme l’indique, le format de données JSON (JavaScript Object Notation) repose sur la notation des objets du langage JavaScript. Il décrit des éléments et leurs propriétés : le titre d’une diapositive par exemple, ou encore les réglages d’un projet Xcode. Très répandu, il peut être lu et modifié par de nombreux outils. Le choix du JSON ne fait pas tout : l’organisation des données compte tout autant pour rendre un fichier facile à exploiter.

Cette structure claire profite aussi bien aux humains qu’aux agents IA, pour identifier des éléments, leurs propriétés et les relations entre eux. Les agents peuvent dès lors intervenir plus facilement dans les fichiers pour créer des diapositives, remplacer des données ou modifier des réglages dans un projet Xcode. Les fichiers JSON ne garantissent pas la lisibilité du document, mais ils rendent le travail moins casse-tête.

Comme le rappelle John Gruber, l’ancien format de projet pour Xcode (.pbxproj) utilise une liste de propriétés héritée de NeXT. Un format ASCII « étonnamment proche de JSON » relève l’observateur, mais qui précède non seulement JSON mais aussi JavaScript.

Ce format représente les éléments avec des identifiants sans signification évidente. Une petite modification dans Xcode peut entraîner plusieurs changements à différents endroits du fichier du projet. Techniquement, le fichier reste lisible par un humain, et donc par un agent IA, mais les références croisées entre éléments obscurs rendent les modifications manuelles (via un éditeur de texte par exemple) assez délicates.

L’IA avant les humains

L’adoption de formats mieux structurés et documentés est donc une bonne nouvelle, aussi bien pour Keynote que pour Xcode. Même si, comme le déplore le développeur Rob Napier, Apple donne l’impression d’avoir cédé très rapidement à l’IA alors que les humains réclamaient un tel changement depuis des années : « C’est frustrant qu’il ait fallu l’argument « ça peut aider l’IA » pour que les choses bougent. »

En ce qui concerne Keynote, ce nouveau format – pas encore disponible – pourrait bien représenter un véritable bouleversement pour le vénérable logiciel. Les fichiers .key actuels regroupent les médias (images, vidéos, sons) et les descriptions des objets de la présentation dans des fichiers .iwa (textes, mise en forme). Et comme l’indique MacGeneration, ces fichiers sont difficiles à exploiter avec des outils autres que Keynote.

Keynote était pourtant parti d’un bien meilleur pied : en 2003, la première version du logiciel utilisait le format APXL (Apple Presentation XML), autrement dit un fichier XML décrivant la présentation, accompagné des ressources associées. C’est en 2013 que le constructeur a basculé dans la structure actuelle, difficile à lire.

Ciblage beaucoup plus que publicitaire

L’entreprise de marketing israélienne Discover-Tech a participé à une attaque zéro-clic installant un logiciel espion via des publicités. Elle vise particulièrement les utilisateurs du réseau Starlink, selon des sources de l’agence de presse Reuters.

L’agence de marketing israélienne Discover-Tech, impliquée dans la diffusion d’un logiciel espion via une attaque zéro-clic, est aussi une des entreprises qui enchérissent le plus pour obtenir des publicités sur le réseau Starlink. Ainsi, elle serait en capacité de localiser assez facilement des utilisateurs de ce réseau qui permet à ses utilisateurs de passer à travers les surveillances gouvernementales.

Mi-octobre, on apprenait que Discover-Tech avait mis au point une attaque zéro-clic installant un logiciel espion via la publicité ciblée. Les chercheurs de Citizen Lab et de Cinfiant avaient constaté que des appareils des équipes du média Al Jazeera avaient été choisis pour être infectés avec un logiciel espion attribué à la société Candiru.

En parallèle, des chercheurs de l’entreprise de sécurité Trend Micro publiaient un rapport sur les activités d’un groupe nommé SHADOW-EARTH-79 qui utilise aussi la publicité ciblée pour « suivre et établir le profil de personnes se trouvant dans des zones de conflit, des États soumis à des sanctions et d’autres lieux sensibles à travers le monde ».

Des sources anonymes affirment que Discover-Tech et SHADOW-EARTH-79 sont la même entité

Selon plusieurs sources de Reuters, Discover-Tech est l’entité réelle qui se trouve derrière le groupe SHADOW-EARTH-79. Les chercheurs de l’unité TrendAI de Trend Micro ne citent pas le nom de l’entreprise israélienne : cette unité s’est donné des règles très prudentes concernant l’attribution des menaces cyber qu’elle découvre. Mais six sources ont confirmé à l’agence de presse que Shadow-Earth-79 est le nom de code utilisé par TrendAI pour désigner Discover-Tech.

Selon TrendAI, ce groupe est sur le trafic des adresses IP de Starlink, ce groupe est la deuxième entreprise concernant le nombre d’enchères gagnées pour placer des publicités (12,9%) derrière l’entreprise américaine de marketing ciblé Steelhouse  qui a obtenu 38,4 % des enchères sur une période de 90 jours étudiée.

TrendAI a pu observer que ce groupe avait gagné des enchères publicitaires dans 150 pays concernant le trafic des adresses IP de Starlink. « Certains de ces pays (le Cameroun, la Syrie, le Soudan, la Birmanie et la Libye) sont des pays où Starlink est officiellement interdit ou soumis à des restrictions réglementaires », remarquent-ils dans leur rapport. Mais on peut y voir qu’y figurent aussi la France, l’Italie ou l’Espagne où le groupe est premier enchérisseur concernant les pubs du trafic de Starlink.

Infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale

Concernant les enchères publicitaires sur tout le trafic (et non plus seulement Starlink), selon TrendAI, ce groupe est « le premier enchérisseur dans 49 pays où les données publicitaires font l’objet d’enchères ». « Dans plusieurs cas, il détient une part incroyablement dominante de l’ensemble des enchères, ce qui ne correspond pas à un achat publicitaire concurrentiel normal », ajoutaient les chercheurs en cybersécurité. Ils pointaient notamment son « quasi monopole » en Hongrie, en Israël, en Égypte, en Azerbaïdjan et au Venezuela où le groupe fait entre 72 % et 91 % des offres.

Le rapport de TendAI concluait que « les éléments de preuve recueillis indiquent, avec un niveau de confiance modéré à élevé, que la présence publicitaire de SHADOW-EARTH-79 sert d’infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale ».

Contactées par Reuters, Discover-Tech mais aussi SpaceX n’ont pas répondu aux demandes de commentaires sur le sujet de nos confrères.

En mai dernier, Intelligence Online expliquait qu’une autre entreprise israélienne, Targeteam qui a aussi un bureau à Chypre, allait dévoiler un nouvel outil dédié à la désanonymisation des utilisateurs du système Starlink. Cette entreprise est la « nouvelle aventure business d’un vétéran du secteur cyber israélien et légende de l’export, Ron Zilka », selon nos confrères. De son côté, le média israélien Haaretz parlait de deux entreprises du même pays capables de localiser les terminaux satellitaires de Starlink alors que ce système permet, par exemple, à l’armée ukrainienne de se défendre face à l’envahisseur russe. Mais récemment, le pays de Volodymyr Zelensky a accusé Starlink d’avoir restreint l’accès à Internet de ses forces militaires.

Ne pas commenter, ne pas partager, ne pas interagir

De la contestation du rôle des algorithmes de Meta aux multiples recours à l’IA générative en passant par le succès initial du « parti digital » de Bolsonaro, la campagne présidentielle brésilienne est riche d’enseignements sur la forme que les discours politiques prennent désormais en ligne en contexte électoral.

Comment expliquer la réélection de Luiz Inácio Lula à la tête du Brésil ? Dans quelle mesure le traitement de son discours par les réseaux sociaux dominants explique-t-il son arrivée derrière Flávio Bolsonaro, au premier tour de l’élection présidentielle ? Et qu’est-ce qui a permis au président sortant de gagner en quelques semaines près de dix millions de votes (de 45 % des suffrages au premier tour, contre 47 % pour le fils Bolsonaro, Lula a terminé avec 51,7 % des voix exprimées au second tour, contre 48,2 % pour son adversaire) ?

Aucune victoire politique n’est possible sans mobilisation concrète sur le terrain. Mais la politique, aujourd’hui, se joue aussi bien sur le terrain physique que sur le terrain numérique. Or, pendant la campagne brésilienne, le rôle des réseaux sociaux a été questionné à de multiples reprises, y compris par les deux principaux candidats.

Alors que les élections présidentielles françaises se profilent, la récente campagne brésilienne permet d’ouvrir quelques axes de réflexion sur le visage que pourraient prendre les débats à venir. Et ce, que ce soit en termes d’ingérence étrangère, de violence numérique issue de l’intérieur ou de l’extérieur du pays, ou encore de recours habile à certaines fonctionnalités sous-estimées d’outils numériques du quotidien.

Une campagne menée par le « parti digital » de Bolsonaro

Plus que jamais, la propension des réseaux sociaux à orienter le discours dans une direction politique plus qu’une autre a été mise en débat au Brésil. Sur place, comme ailleurs dans le monde, le sujet n’a rien de neuf.

Vitesse et précipitation

Une faille de sécurité critique a été découverte dans la plupart des firmwares UEFI utilisés dans les serveurs. Bien qu’elle ne requière pas d’authentification, il faut remplir plusieurs conditions pour l’exploiter, dont l’utilisation du PXE pour le démarrage réseau.

Quand on allume un ordinateur, un petit logiciel est d’abord chargé d’initialiser le matériel et de préparer les conditions au lancement du système d’exploitation. On l’a historiquement appelé « BIOS » (Basic Input/Output System), mais il s’agit depuis longtemps d’un microgiciel (firmware) nommé UEFI (Unified Extensible Firmware Interface). Parmi les fonctions apportées par ce firmware plus moderne, des fonctionnalités réseau en standard.

Dans la grande majorité des cas, les constructeurs n’écrivent pas leur UEFI depuis zéro. Ils se basent sur des travaux existants, en particulier EDK II, une base de code libre maintenue par le projet TianoCore. Presque tous les éditeurs de firmware – dont AMI, Insyde et Phoenix – s’en servent copieusement, y compris Project Mu, une variante renforcée (durcie) d’EDK II maintenue par Microsoft.

Or, c’est dans cette base EDK II que réside la faille.

Un débordement en mémoire

La faille en question, estampillée CVE-2026-97631, réside dans la fonction de démarrage réseau, ou PXE. Quand elle est activée, la machine ne démarre pas sur son disque, elle récupère son système sur un serveur distant. Ce mécanisme est largement utilisé dans les centres de données pour installer ou réinstaller en masse des serveurs.

Pendant ce démarrage réseau, le pilote PXE (NetworkPkg ou UefiPxeBcDxe) attend d’éventuels messages d’erreur ICMP. S’il en reçoit, il les copie dans une zone de mémoire de taille fixe, précisément 504 octets. Il existe deux variantes du code pour le réseau, une pour IPv4, l’autre pour IPv6. C’est là que réside le problème : dans les deux cas, la copie en mémoire continue même si le message d’erreur dépasse les 504 octets. En outre, le pointeur de destination avance sur la base du total cumulé au lieu de la taille du seul fragment copié.

Dans le scénario d’une attaque, un pirate peut donc exploiter ce mécanisme pour écrire un message trop long, avec des octets choisis en dépassement de la zone prévue en mémoire. Rien en amont ne limite la taille du message, renforçant l’ampleur du problème. Le pirate peut donc glisser des instructions dans ces octets, qui seront alors exécutées par le firmware UEFI.

Les conditions d’exploitation

La faille CVE-2026-97631 affiche un score CVSS 4.0 de 9,5 sur 10, soit très près du maximum. Le seul facteur limitant la portée de l’exploitation est l’obligation d’utiliser PXE, ce qui n’arrive que dans des environnements spécifiques, et a priori pas chez le grand public. Autre condition tout de même, il faut connaitre la version exacte du firmware que l’on veut attaquer.

Si ces deux conditions sont remplies, tout ce que le pirate a à faire est d’envoyer un message d’erreur ICMP spécialement conçu pour y glisser des commandes. Aucune authentification n’est nécessaire. De plus, puisque les commandes sont exécutées à un stade très précoce de la chaine de démarrage, ni Secure Boot ni le démarrage mesuré n’ont le temps d’intervenir.

C’est l’accumulation de ces deux éléments – aucune authentification et déclenchement avant tous les mécanismes de sécurité – qui donne son score de gravité à la faille. S’il parvient à exploiter la faille, le pirate a même le choix : se servir de la corruption mémoire pour provoquer une exception processeur et le blocage du démarrage, ou l’exécution du code qui aura alors le niveau de privilège le plus élevé. Même si ce code ne survit pas lui-même au redémarrage, il peut être utilisé pour installer des composants persistants.

Une divulgation « ratée »

La faille a été découverte par Alex Matrosov d’Anthropic et Dan Holmes-Mitra de Google, qui ont également fourni la solution recommandée. On ne sait pas quand cette découverte a eu lieu, mais la communication de l’équipe de TianoCore a entrainé une réservation de l’identifiant CVE le 24 septembre.

En théorie, les détails d’une telle vulnérabilité restent secrets jusqu’à ce que ces correctifs soient disponibles, mais il y a eu une erreur. Ars Technica parle de « divulgation ratée » : AMI a publié fin septembre une demande de modification publique qui décrivait la faille et contenait le correctif. Alex Matrosov et Dan Holmes-Mitra s’en sont aperçus, ont prévenu TianoCore, qui a alors décidé de rendre public l’avis de sécurité le 22 octobre.

En outre, bien que le correctif ait effectivement été proposé, les différentes parties s’étaient mises d’accord pour attendre une publication des détails en janvier. L’erreur d’AMI a précipité le calendrier, car le délai devait servir aux éditeurs de firmwares à proposer de nouvelles moutures. Il faut désormais surveiller ce que des entreprises comme Dell, Lenovo, SuperMicro ou encore HPE publient. Selon les cas, le mécanisme de mise à jour peut être plus ou moins complexe, mais il réclame dans tous les cas un temps d’immobilisation du serveur.

Les firmwares concernés sont a priori très nombreux, sur la base du code vulnérable d’EDK II. Ars Technica a interrogé Intel et Arm sur la portée du problème, les deux entreprises affirmant que leurs produits ne sont pas concernés. Nos confrères indiquent cependant que l’une comme l’autre utilisent amplement EDK II comme base de référence. Dans le cas d’Intel, le dépôt GitHub pour les binaires FSP (Firmware Support Package) mentionne clairement EDK II et TianoCore. Même chose pour Arm. D’autres entreprises comme AMD, Microsoft et Amazon n’ont pas répondu aux questions de nos confrères, mais elles sont très probablement concernées aussi.

La méfiance est donc de mise. Il est recommandé de dresser l’inventaire des machines utilisant PXE. Si parmi elles certaines l’ont activé sans l’utiliser, mieux vaut le désactiver pour supprimer la surface d’attaque. Si la fonction est nécessaire, il est recommandé de garder le trafic de démarrage sur un segment isolé du réseau, de surveiller les pages de support des constructeurs ou des éditeurs impliqués et de filtrer les messages ICMP inattendus.

Toujours pas de lumière au bout de Tunnel

Intel ne laisse pas tomber l’informatique quantique, la recherche continue. C’est en substance le message de son patron, mais aussi de ses équipes que nous avons rencontrées à Teratec. La nouvelle version de Tunnel Falls attendue pour 2024 n’a par contre jamais vu le jour.

Cela fait bien longtemps qu’Intel s’intéresse à l’informatique quantique, comme en témoigne, début 2018 (à l’occasion d’une keynote de Brian Krzanich pour le CES de Las Vegas), l’annonce de la puce Tangle Lake de 49 qubits. Fin 2019, Intel remet le couvert avec Horse Ridge, une puce de contrôle capable de gérer jusqu’à 128 qubits.

Intel au bout du Tunnel ?

En 2023, Intel présente Tunnel Falls, sa première puce quantique sur une base de silicium avec 12 qubits. Il existe, pour rappel, plusieurs technologies pour développer des processeurs quantiques (atomes froids, photons…), mais aussi le silicium. À la fin des années 2010, Intel travaillait à la fois sur des qubits supraconducteurs (Tangle Lake) et des qubits de spin sur silicium.

Démerdez-nous avec ça

L’entreprise de Sam Altman continue de promouvoir la puissance de ses outils en les employant sur divers problèmes de recherche scientifique. Mais n’ayant pas les compétences en interne, elle cherche toujours à savoir comment rendre publique cette production sans trop fâcher la communauté scientifique.

Depuis le printemps, OpenAI comme Anthropic bandent les muscles en annonçant régulièrement des « découvertes » scientifiques. Ainsi, fin septembre, l’entreprise de Dario Amodei affirmait, elle, avoir découvert un nouveau système enzymatique, « dont la structure rappelle celle du système CRISPR » alors que tout le travail de recherche en biologie reste à faire pour démontrer ce qui n’est pour l’instant qu’une hypothèse.

• Non, Anthropic n’a pas découvert un système biologique comparable à CRISPR

Après avoir inondé la recherche avec 722 « prépublications » de mathématiques générées par IA, OpenAI vient encore d’annoncer sans prendre de pincettes « trois nouvelles découvertes en mathématiques, en informatique et en physique, portant respectivement sur l’analyse harmonique, la théorie de la complexité et la théorie quantique des champs ». Mais, encore une fois, les résultats n’ont pas été relus par des chercheurs.

Comme ces entreprises d’IA générative en ont pris l’habitude, c’est dans un billet de blog qu’OpenAI a fait l’annonce de ces « découvertes » scientifiques. Mais l’entreprise patauge encore dans sa façon de gérer le partage de ses résultats aux communautés de chercheuses et chercheurs qui travaillent parfois depuis des années sur les sujets auxquels elle s’attaque. Car, n’ayant pas d’employés capables de s’attaquer à tous ces sujets, elle se retrouve avec des problèmes qu’elle ne peut maitriser en interne. Ainsi, comme différents chercheurs nous l’ont souligné, ces résultats restent « la première étape d’une découverte scientifique, pas la dernière ».

Consultations de « guides » pour savoir quoi faire de ces « résultats »

La mise en ligne des 722 « prépublications » à différents stades de vérification ne semble pas être la solution miracle pour un partage serein avec les chercheurs. OpenAI tente donc encore une autre méthode. Elle indique faire appel à des experts externes qu’elle qualifie de « guides » (shepherds, en anglais), mais dont elle ne donne pas les noms.

Concernant le problème de maths dont elle affirme que ses modèles ont produit une preuve de sa résolution, OpenAI n’a contacté un expert que pour « discuter de la mise en place d’une collaboration autour de ce résultat », pas pour être conseillée sur la méthode de publication. Cet expert lui aurait recommandé de rendre publique sa production, comme avec les 722 « prépublications ».

OpenAI affirme que ses modèles ont « établi une preuve de la conjecture de lissage local dans toutes les dimensions et ont ainsi également résolu la conjecture de Kakeya et la conjecture de restriction de Stein dans toutes les dimensions ». En juillet dernier, la mathématicienne Hong Wang venait de se voir attribuer la médaille Fields notamment pour cette conjecture de Kakeya en dimension trois, comme l’expliquait le Journal du CNRS.

En informatique théorique et physique, des collaborations initiées avec certains chercheurs

En informatique, les travaux générés par OpenAI concernent une hypothèse de difficulté calculatoire : l’Exponential Time Hypothesis. L’entreprise soutient que cette hypothèse est « fausse ». Cette fois, un groupe d’experts (Russell Impagliazzo de l’UC San Diego, Ramamohan Paturi de l’UC San Diego et Ryan Williams du MIT) a accepté d’accompagner OpenAI dans la vérification de ces travaux, mis en ligne sur GitHub.

Ces trois chercheurs ont aussi publié une lettre adressée à leur communauté : « Notre implication ne doit pas être interprétée comme une validation de cette affirmation. Un résultat d’une telle importance nécessite un examen minutieux et indépendant, ainsi qu’une compréhension que d’autres puissent reproduire, remettre en question et développer ».

Sur la publication de ces travaux, OpenAI est cependant accusée – une nouvelle fois – de mauvaises pratiques scientifiques en s’appuyant sur des travaux d’autres chercheurs sans les citer et en les prenant de vitesse sans réellement maitriser ce qu’elle fait.

Le mathématicien Levent Alpöge, qui travaille pour Anthropic et qui avait déjà pointé ce genre de problèmes concernant OpenAI et les maths, a expliqué sur X que son confrère Ethan Sussman de l’université Northwestern avait beaucoup avancé sur le sujet et partagé ses résultats avec la communauté. « Je n’ai cessé de lui répéter de ne pas se montrer trop déférent et modeste, car on lui volerait la vedette à la première occasion. Au lieu de le contacter pour collaborer avec lui, comme cela a été suggéré publiquement à maintes reprises, les responsables d’OpenAI ont choisi de procéder ainsi », explique-t-il. Anthropic a depuis mis en ligne les travaux sur le sujet générés avec ses modèles.

Enfin, du côté de la physique, les documents générés n’ont pas été rendus publics. L’entreprise affirme, par contre, que ce serait « une démonstration mathématiquement rigoureuse de l’existence de certaines théories quantiques des champs en interaction, comprenant des champs de jauge et des fermions en quatre dimensions, notamment la chromodynamique quantique (QCD) et une formulation unifiée du Modèle standard de la physique des particules ». Ici aussi, OpenAI a listé les chercheurs avec lesquels elle allait collaborer : David Gross (prix Nobel 2004), Michael Douglas, Arthur Jaffe, Igor Klebanov et Nikita Nekrasov.

Comme elle le souligne, ces annonces s’ajoutent à sa volonté, ainsi que celle d’Anthropic, de s’afficher comme les futurs financeurs de la recherche mondiale, alors que ces entreprises sont encore loin d’être seulement à l’équilibre.

• En route pour la bourse, Anthropic liste 800 milliards de dollars de dépenses

Les fils restent nocifs

Depuis l’été 2025, les grandes plateformes en ligne doivent protéger les enfants des contenus pornographiques, racistes, violents, misogynes, ou liés au suicide ou au harcèlement. Le bilan du régulateur britannique des communications sur l’Online Safety Act est édifiant.

Durant les neuf premiers mois qui ont suivi l’entrée en vigueur des obligations de protection des enfants en juillet 2025, l’Ofcom n’a constaté aucune évolution statistiquement significative de la proportion d’adolescents déclarant avoir rencontré des contenus nocifs. Cela ne signifie pas que l’Online Safety Act n’a eu aucun effet – le rapport n’évalue pas l’efficacité des mesures de protection. Mais sa mise en œuvre n’a occasionné aucune baisse statistiquement significative de l’exposition déclarée à ces contenus.

Les nouvelles protections ne font pas reculer l’exposition

C’est notamment le cas pour la pornographie, les contenus liés au suicide et à l’automutilation et aux troubles alimentaires. Le constat est « préoccupant » pour le régulateur, qui relève également qu’aucun nouvel élément ne montre d’évolution de la gravité des préjudices subis par les enfants exposés à ces contenus. Le rapport se base sur une enquête en ligne menée auprès d’enfants et d’ados âgés de 8 à 17 ans (de 11 à 17 ans pour les questions portant sur l’exposition), avant et après l’entrée en vigueur des dispositifs de l’Online Safety Act.

Les plateformes en ligne qui diffusent des contenus pornos doivent mettre en place des systèmes de vérification de l’âge. Les règles prévoient aussi des procédures de modération renforcées pour traiter les contenus dangereux signalés. Pour les mineurs, les réseaux sociaux sont tenus d’adapter leurs algorithmes de recommandation de contenus, afin de filtrer les plus nocifs.

Malgré tout, le principal canal d’exposition déclaré au porno et aux contenus encourageant le suicide et les troubles alimentaires, reste toujours et encore les fils personnalisés. Plus encore que les garçons, les filles déclarent être davantage exposées à ces deux dernières catégories ; elles se disent troublées ou bouleversées après avoir vu des contenus pornos.

L’Ofcom rapporte également que les garçons et les jeunes hommes qui consultent des contenus de motivation et de développement personnel peuvent rapidement être exposés à des publications extrêmes qui font la promotion de la misogynie et du racisme. Les règles de modération sont souvent contournées très simplement, en passant par un langage codé ou des mots-clés volontairement mal orthographiés.

• Frères Tate arrêtés : dans la fabrique très publique d’influenceurs masculinistes mondiaux

Beaucoup de travail à accomplir

Le régulateur n’est pas dupe : il reste encore beaucoup de travail à accomplir. Le secteur du numérique en ligne a « échappé à toute réglementation et n’a eu de comptes à rendre à personne pendant plus de vingt ans », souligne un porte-parole auprès du Guardian.

Il souligne tout de même que « des progrès importants sont en cours, notamment avec la généralisation des contrôles de l’âge, le renforcement des protections contre les prédateurs sexuels et des mesures plus strictes contre l’exploitation et les abus sexuels sur mineurs. »

Mais c’est insuffisant. « Nous avons montré que les entreprises technologiques qui ne respectent pas leurs obligations s’exposent à des sanctions », ajoute le représentant. L’Ofcom a lancé une enquête sur TikTok en juillet, en particulier sur la vérification de l’âge. Et le gouvernement anglais veut instituer une interdiction des réseaux sociaux aux moins de 16 ans à compter du printemps prochain.

L’autorité recommande par ailleurs d’inscrire deux nouvelles catégories parmi les contenus nocifs que la loi entend réguler : la stigmatisation de l’apparence physique et la promotion de la dépression, du désespoir et du sentiment d’impasse. Des contenus déjà couverts par plusieurs obligations, mais leur inscription aurait pour intérêt de systématiser leur prise en compte par les plateformes.

• Londres multiplie les interdictions pour les moins de 16 ans : réseaux sociaux, jeux vidéo…

Beaucoup de tokens pour rien

Brûler des tokens ne fait pas nécessairement un bon ingénieur. Amazon reconnait les limites de ses indicateurs d’utilisation de l’IA, et demande à ses équipes de privilégier les résultats concrets. Même si les indicateurs restent en place.

Amazon ne veut plus faire partie du club des entreprises où l’on brûle du token pour rien, sinon pour se faire bien voir de la hiérarchie. Au mois de mai, une indiscrétion donnait des détails sur un nouvel outil interne pour mesurer l’utilisation de l’IA. Un usage surveillé de près par des managers poussant sans relâche leurs équipes à intégrer cette technologie dans leur travail de tous les jours. À tel point que certains abusent des tokens.

• Tokenmaxxing : quand les salariés d’Amazon brûlent des tokens pour se faire bien voir

Des indicateurs qui poussent à la consommation

Ce phénomène du tokenmaxxing ne se limite pas à Amazon. De nombreuses autres entreprises, désireuses elles aussi d’embarquer dans le grand train du progrès et des (soit-disant) gains de productivité démentiels forcent leurs salariés à exploiter l’IA, parfois à tort et à travers. À cela s’ajoutent des factures d’usage d’API qui flambent.

Amazon a rapidement appuyé sur la pédale de frein et mis un terme au classement IA interne. Pour enfoncer le clou, un mémo envoyé en septembre par Terk Terkowitz, vice-président de l’ingénierie, et rendu public ce mardi 27 octobre, détaille les nouvelles pratiques en matière de mesure des performances des équipes.

Le message destiné aux ingénieurs logiciels du groupe détaille les mesures utilisées en interne, parmi lesquelles la consommation de tokens pour déterminer le volume d’utilisation des modèles –, ce qui peut en amener certains à en abuser. Amazon mesure aussi l’adoption des outils IA, le nombre de modification dans le code et le nombre de revues de code, ces deux derniers indicateurs servant à suivre le volume de travail réalisé.

« Nous savons tous à quel point ces indicateurs sont imparfaits, principalement parce qu’ils sont déconnectés de ce qui compte vraiment », écrit le dirigeant. « S’ils deviennent des objectifs plutôt que des instruments de mesure, ils peuvent avoir des effets négatifs : une hausse des coûts (…) et une complexité accrue », poursuit-il. Terk Terkowitz espère tout de même que le « sens aigu des responsabilités » des développeurs et leur volonté « d’obtenir des résultats » aidera l’entreprise à éviter les effets négatifs.

Quand l’IA n’aide pas, ce n’est pas forcément un échec

Il faut toujours tenir compte de ces critère donc, mais « avec prudence et discernement ». Le vice-président donne une sorte de feuille de route en recommandant de regarder les deux extrémités : les 10 % des équipes qui adoptent le moins l’IA pour comprendre les freins, et les 10 % qui l’utilisent le plus afin de vérifier que cet usage s’accompagne d’une augmentation des livraisons de nouveautés.

« Si les outils d’IA actuels n’apportent rien à votre travail, c’est un constat, pas un échec. Documentez les raisons, partagez-les avec vos pairs, parlez-en à votre responsable et cherchez des solutions. Un ingénieur capable d’expliquer dans quels cas l’IA ne l’aide pas encore dans son travail fait preuve du discernement que nous attendons. »

Mais le critère final doit être l’impact à long terme sur les clients, l’activité et les équipes. Une métrique basée sur la qualité donc, bien plus que sur la quantité de tokens brûlés.

En juin 2025, le directeur général d’Amazon, Andy Jassy, partageait sa « pensée » autour de l’IA générative. Pour lui, les agents IA vont accélérer et amplifier le développement d’innovations au sein de l’entreprise. Moins réjouissant, il prévoyait aussi une baisse des effectifs grâce aux gains d’efficacité de l’IA, tout en indiquant que certains métiers créeront plus d’emplois.

À l’approche des élections américaines de mi-mandat, OpenAI resserre les conditions d’utilisation de ChatGPT, tout particulièrement de la fonction de génération d’images.

Alors que les élections de mi-mandat se dérouleront le 3 novembre aux États-Unis, ChatGPT n’est plus en mesure de générer des images photoréalistes dépeignant « une ingérence électorale ou susceptibles de décourager le vote ». Le bot peut toujours proposer des images, mais elles apparaissent dès lors sous la forme d’illustrations stylisées, « cartoon », pas réalistes.

L’intimidation électorale passe au dessin

OpenAI veut « réduire le risque qu’une scène imaginaire soit prise pour une preuve documentaire ». Cnet a testé en demandant à ChatGPT de créer une image photoréaliste d’agents de l’ICE (la police de l’immigration) devant un bureau de vote. La crainte est qu’une telle présence décourage les personnes redoutant un contrôle migratoire des urnes, même quand elles ont le droit de voter.

Comme on a pu le tester en dehors des États-Unis, ChatGPT génère bien une telle image mais stylisée. Le bot ne parvient pas à produire une image réaliste. Plus près de nous, c’est le cas aussi pour le prompt « Crée une image photoréaliste d’un cordon de CRS bloquant l’entrée d’un bureau de vote en France ». Même en insistant pour avoir un rendu réaliste, l’image reste stylisée façon dessin de presse ou BD.

La requête « Crée une image photoréaliste d’une urne électorale bourrée de bulletins par un assesseur dans une mairie française » génère d’abord un dessin, mais en réclamant un rendu photoréaliste, ChatGPT s’exécute. Savoir exactement ce qui est autorisé de ce qui ne l’est pas n’est donc pas évident. Ce d’autant que l’approche d’OpenAI « préserve la possibilité de créer des illustrations et des commentaires sur la société ».

Les fausses images alimentent la désinformation

L’entreprise rappelle aussi que ses règles interdisant l’ingérence électorale et la démobilisation des électeurs s’appliquent toujours, « même lorsque ces usages abusifs font appel à des images de type dessin animé. » Les manifestations de ces dernières semaines en France donnent un relief particulier à ces mesures de protection relatives aux élections datées du 27 mai, mises à jour le 20 octobre.

L’image d’un couple d’octogénaires soit-disant « dépouillés » par des casseurs au soir de la manifestation du 17 octobre a été largement partagée sur les réseaux d’extrême-droite. Mais voilà, elle était complètement bidonnée, générée par IA.

• « L’image la plus horrible de ce 17 octobre » émanait d’un site d’info généré par IA

OpenAI ajoute un partenariat avec Associated Press pour le décompte en direct des bulletins de vote pour les élections au Brésil et aux États-Unis. Les fabricants de systèmes de vote électronique qui travaillent avec les autorités américaines pour les élections peuvent participer au programme Daybreak de protection des défenseurs.

L’entreprise interdit également la génération de messages de campagne, y compris des images et des vidéos, en faveur ou à l’encontre d’un candidat, d’un parti politique ou d’une proposition soumise au vote. Pourtant, à l’occasion de la campagne des mid-terms, on a vu fleurir d’innombrables spots générés par IA, notamment du côté des républicains pour dénigrer leurs opposants.

• Présidentielle 2027 : des ingérences aux conséquences difficilement quantifiables
• Présidentielle 2027 : entre « censure » et redirections sauvages, les sites sous pression

Born to kill's bills

Devenu secrétaire adjoint à la Défense de Trump, le milliardaire Steve Feinberg a d’abord annoncé vouloir réformer la façon dont le budget du Pentagone (mille milliards de dollars) serait dépensé. Il a ensuite créé une agence secrète de sabotage « dotée de ses propres pouvoirs en matière de marchés publics », au grand dam du Commandement des opérations spéciales et de l’US Cyber Command dont elle rogne les missions et budgets. Le fonds d’investissement qu’il avait créé a par ailleurs d’ores et déjà reçu des fonds du Pentagone.

En décembre 2024, Mike Waltz, le conseiller à la sécurité nationale de la future administration Trump, déplorait que les États-Unis se soient surtout concentrés sur leurs moyens de cyberdéfense, au détriment de ses capacités cyberoffensives.

En mars 2026, l’administration Trump nommait à la tête de la National Security Agency (NSA) et de l’U.S. Cyber Command (USCYBERCOM, le bras armé de la NSA et de l’armée US) Joshua M. Rudd, un général sans expertise ni compétence particulière en matière de renseignement technique ni d’informatique.

Ancien patron des opérations spéciales du Pacifique, son profil de « chef de guerre » rompu au combat semblait par contre pouvoir contribuer à la montée en puissance des capacités cyberoffensives de l’US Cyber Command, que l’administration Trump appelait de ses vœux.

• L’administration Trump voudrait en finir avec la cyberdéfense et privilégier le « hack back »
• L’administration Trump nomme à la tête de la NSA un général sans compétence cyber

Un programme voulu par un milliardaire du secteur du capital-investissement

POLITICO vient de son côté de révéler que le Pentagone a discrètement créé en avril dernier une nouvelle agence d’élite. La mission de ce « Technology Support Office » (TSO) : perturber et saboter en secret les programmes technologiques étrangers considérés comme des menaces pour la supériorité militaire américaine.

TSO témoignerait de la volonté du département de la Guerre états-unien d’intensifier toute une série d’activités secrètes et agressives à l’étranger, explique POLITICO, qui précise en avoir discuté avec 12 actuels et anciens officiels.

Sa création avait été poussée par Steve Feinberg, un milliardaire du secteur du capital-investissement et ancien président du Conseil consultatif du renseignement de la Maison Blanche sous le premier mandat de Donald Trump, devenu secrétaire adjoint à la Défense en mars 2025.

Son conseiller principal au Pentagone, Tom Rakusan, aurait également joué un rôle actif dans la mise en place de TSO. Vétéran de longue date des services clandestins de la CIA, il travaillait jusqu’à récemment au sein de la société de capital-investissement de M. Feinberg, où il se consacrait aux technologies émergentes.

Cyberattaques, perturbations de la supply chain et opérations de désinformation

TSO résulterait de la fusion de deux programmes de renseignement classifiés du Pentagone qui menaient, depuis 2023, des opérations clandestines similaires de sabotage technologique à plus petite échelle.

L’objectif serait d’intensifier ce type d’actions, « pouvant notamment inclure des cyberattaques, des perturbations de la chaîne d’approvisionnement et des opérations de désinformation ». Et ce, afin de gagner du temps ou d’empêcher les adversaires d’accéder à des technologies de défense critiques susceptibles de menacer l’armée américaine « en cas de conflit majeur », voire de les saboter à distance, résume POLITICO :

« Le TSO est composé d’ingénieurs, d’agents des forces spéciales et d’officiers du renseignement ; ses missions vont de la conception d’outils de piratage sur mesure à la planification d’opérations de diversion sophistiquées visant à inciter les adversaires à installer des composants défectueux — probablement conçus par le TSO — dans des plates-formes d’armement étrangères stratégiques. »

En réponse à une série de questions concernant TSO et les détails de cette affaire, Jacob Bliss, porte-parole adjoint du Pentagone, a répondu à POLITICO que « cette interrogation semble reposer sur des informations qui sont tout simplement fausses. La personne qui vous transmet ces allégations est soit très mal informée, soit cherche délibérément à vous induire en erreur pour colporter ses fantasmes. »

Une indépendance mal vue par les forces spéciales et l’US Cyber Command

POLITICO, qui souligne que « les détails de ses activités, les grandes lignes de sa mission et les raisons pour lesquelles ses opérations sont entourées de secret », a cela dit appris qu’après avoir initialement envisagé de rattacher le TSO à l’US Cyber Command, le Pentagone a finalement préféré créer une nouvelle agence « dotée de son propre budget et de ses propres pouvoirs en matière de marchés publics », afin de pouvoir « intégrer plus rapidement les technologies de pointe issues du secteur privé » :

« Au-delà des opérations offensives, le TSO s’attachera également à coordonner l’utilisation des technologies et à réduire les formalités administratives pour les sous-traitants du secteur de la défense, qui doivent composer avec un dédale de programmes de renseignement du Pentagone fortement cloisonnés. »

Trois des sources de POLITICO soulignent que ce choix avait irrité plusieurs officiels du Pentagone, au point que le Commandement des opérations spéciales et l’US Cyber Command s’y seraient tous deux opposés, de crainte que TSO n’entame leurs propres budgets.

Tout en soutenant la mission de la TSO, plusieurs des interlocuteurs de POLITICO craignent cela dit que le secret qui entoure ses activités n’encourage les dirigeants du Pentagone à lancer des missions bafouant le droit international, ou à attribuer des contrats classifiés à des alliés politiques.

Un risque de conflits d’intérêts avec les fonds d’investissement qu’il avait créés

Lors de sa nomination, les démocrates avaient en effet souligné les risques de conflits d’intérêts, les sociétés de capital-investissement et de capital-risque que dirigeait Feinberg avant de rejoindre le département de la Guerre détenant toutes deux des participations importantes dans des entreprises de technologie de défense susceptibles d’entrer en concurrence pour remporter des marchés du Pentagone.

Commençons par un rappel. OpenAI propose quatre gammes de modèles, du moins cher au plus « capable ». Luna est ainsi vendu comme le modèle le plus rapide pour les questions courantes, Terra comme le modèle à tout faire, Sol pour les tâches complexes et Astra pour les plus gros besoins. Si Astra a ouvert le bal de la génération de modèles GPT-6 début septembre, Luna et Sol ont suivi peu de temps après. Ne manquait plus qu’une mise à jour de Terra, resté sur GPT-5.6. C’est désormais chose faite.

Pour l’occasion, Terra passe directement sur GPT-6.1, comme Sol fin septembre. OpenAI présente son nouveau modèle comme rapide, capable de combiner raisonnement visuel détaillé et pilotage précis de l’ordinateur, le tout avec une rédaction plus naturelle. L’entreprise cite plusieurs cas d’utilisation, allant de la rédaction de propositions à l’interprétation de dessins techniques, en passant par le remplissage de formulaires et le montage vidéo.

L’accent est largement mis sur la tarification API. Le prix est ainsi de 1 dollar par million de jetons (tokens) en entrée et de 5 dollars en sortie (le double en mode Fast), contre respectivement 2 et 12 dollars pour GPT-5.6 Terra. Le tarif de l’écriture en cache est divisé par deux, à 1,25 dollar le million de jetons, tandis que le prix de la lecture est divisé par quatre, passant de 0,20 à 0,05 dollar. De manière générale, le nouveau Terra est annoncé comme deux fois moins cher que l’ancien.

« Avec un effort maximal, Terra est plus de trois fois plus efficace que Claude Opus 5.5 en matière d’utilisation des tokens, et son prix par token est quatre fois inférieur, ce qui se traduit par un coût par tâche environ neuf fois inférieur », vante ainsi OpenAI.

Sans surprise, GPT-6.1 Terra bat la génération précédente dans tous les tests. Selon OpenAI, il flirte même avec les étoiles d’Astra sur certaines tâches. Sur Terminal-Bench 4.0 en particulier, le score est plus que doublé par rapport à l’ancienne, passant de 21,5 à 50,3 %. Le modèle se veut également rapide, avec une exécution trois fois plus rapide que GPT-6.1 Sol sur Last Exam.

Artificial Analysis confirme les meilleures performances, avec un gain de 6 points dans son Intelligence Index en effort maximal, de 7 à 13 points sur des efforts moins importants, et un coût par tâche (toujours sur son propre benchmark) de 0,40 dollar, contre 1,40 pour la génération précédente.

OpenAI l’affirme également, son modèle se trompe beaucoup moins. Sur son benchmark interne, « le taux d’erreur avec un faible effort de raisonnement est passé de 53,6 % avec GPT-5.6 Terra à 16,7 % avec GPT-6.1 Terra, soit une baisse de près de 37 points de pourcentage. Avec un effort maximal, le taux d’erreur a baissé de 18 points de pourcentage pour atteindre 4,3 %, se rapprochant ainsi des taux de GPT-6 Astra et de GPT-6.1 Sol », indique OpenAI. Difficile d’en savoir plus sur la base d’un benchmark interne, donc non reproductible.

Le nouveau « modèle du quotidien » est disponible pour les personnes abonnées Plus, Pro, Enterprise et Edu, mais uniquement dans ChatGPT Work et Codex pour l’instant. On peut également y accéder via l’API sous le nom gpt-6.1-terra.

Captation à 360°

Quatre organisations européennes déposent cinq plaintes contre la société états-unienne Scale AI. Par l’intermédiaire de sa plateforme Outlier, celle-ci déploie en effet une quinzaine de traçeurs sur les ordinateurs des annotatrices et annotateurs qui lui prêtent leurs service. Elle leur impose par ailleurs une collecte de données sensibles importante.

En France, en Italie, aux Pays-Bas et en Autriche : au total, cinq plaintes (dont deux en Autriche) ont été déposées ce 27 octobre contre la société de préparation de données Scale AI. En cause : les pratiques de cette société de sous-traitance essentielle à la chaîne de production de l’intelligence artificielle vis à vis des travailleurs qu’elle sollicite.

Quatre structures sont à la manœuvre de cette quintuple action en justice : l’Association autrichienne noyb, spécialiste de la protection de la vie privée ; le groupe de recherche DipLab, mené par les universitaires Antonio Casilli, Paola Tubaro et Mathilde Abel ; l’association de juristes Intérêt à agir et le groupe Reversing Works.

Collectivement, ces entités contestent la manière dont Scale AI trace et collecte des données sensibles sur les plus de 900 000 personnes qu’elle fait travailler sous un statut d’indépendant. Pour les quatre organisations, les vérifications biométriques de l’identité des travailleurs et la collecte de multiples données numériques à partir de sa plateforme de travail Outlier enfreignent le droit européen, en particulier le Règlement général sur la protection des données (RGPD).

Données des consommateurs, données des entraîneurs

Mi octobre, les équipes de DipLab publiaient un rapport de 45 pages sur les pratiques de surveillance des travailleurs et travailleuses du clic auxquelles s’adonne Outlier. Produit de Scale AI, cette plateforme n’est qu’un exemple parmi d’autres des outils déployés par des sociétés de l’industrie du business process outsourcing (BPO) pour assurer la répartition et de la rémunération des micro-tâches qui cimentent nombre de pratiques numériques – modération de réseau sociaux, entraînement de systèmes d’IA, etc.

Le document dressait un constat principal : si le débat public relatif aux activités des plateformes technologiques s’inquiète principalement de la collecte non consentie des données des consommateurs, il se tourne rarement vers celle des travailleuses et travailleurs qui font partie intégrante de la chaîne de production de nos outils numériques.

Ce constat n’est pas surprenant en soi : auprès de Next, le chercheur Clément Le Ludec, ancien de DipLab, soulignait début octobre le paradoxe entre le peu de valeur accordée aux emplois d’annotation de données et la valeur financière accordée aux sociétés qui leur fournissent du travail. Scale AI est l’un des meilleurs exemples en la matière : à l’été 2025, Meta a dépensé 14 milliards de dollars pour racheter 49 % de ses parts et débaucher son fondateur Alexandr Wang. Un investissement faramineux, qui n’a pas empêché la société de licencier 200 personnes et de mettre fin aux interactions avec 500 sous-traitants dans les semaines qui ont suivi. Parmi ses clients, Scale AI compte les acteurs les plus connus de l’industrie occidentale de la tech, dont Meta lui-même, OpenAI, Google, Anthropic, xAI, ou encore le gouvernement des États-Unis.

• Clément Le Ludec : « Ne pas voir le travail de données nécessaire à l’IA nous arrange »

Mais ce que ce nouveau rapport de DipLab et les cinq dépôts de plainte qui s’en suivent soulignent, c’est qu’au-delà du profit financier, une telle société tire aussi un profit informationnel, en termes de données d’entraînement, de ses interactions avec les annotatrices et annotateurs qui lui permettent d’exister. Concrètement, les équipes de DipLab ont suivi des usagers de la plateforme Outlier dans douze pays européens et constaté que travailler par son intermédiaire impliquait de lui céder quantité de données personnelles, d’informations biométriques ou de données financières.

Captation de données non rémunérées

Techniquement, les scientifiques ont repéré seize traceurs déposés sur les ordinateurs des travailleurs du clic suivis. Certains visaient à récupérer des données comportementales, en suivant leurs activités sur Facebook, LinkedIn, Snapchat, Twitter ou Quota ; d’autres, des données techniques, de type clics, mouvements de souris, voire en enregistrant l’activité de l’écran. D’autres, enfin, consistaient à suivre leurs activités de très près, y compris en recourant à la reconnaissance faciale ou en demandant aux internautes travailleurs de soumettre leurs papiers d’identité (via le recours à des outils comme Persona, victime d’une fuite de 70 000 documents d’identité en 2025, Recruitics, Forethought ou Sentry, par exemple).

Ces données – de même que le temps passé à attendre que de nouvelles tâches soient rendues disponibles, ou celui passé à étudier les directives spécifiques à chaque tâche – ne donnent lieu à aucune compensation. Leur collecte ne se traduit pas, non plus, par une meilleure sécurité de l’emploi. Au contraire, DipLab constate que parmi son panel de personnes enquêtées, plus de la moitié sont jeunes (moins de 30 ans), éduquées (avec des diplômes de niveau bachelor ou master), mais gagnent en moyenne 1 214 euros par mois, un montant 30 % plus bas que le coût de la vie moyen répertorié dans chacun des pays étudiés. S’ils sont employés en tant que freelance, ces internautes tirent en réalité de 70 % à la totalité de leurs revenus de leur travail via Outlier, ce qui les rend très dépendants à ses obligations de collecte de données ou ses variations de fonctionnement.

Par ailleurs, relève noyb, de telles collectes de données facilitent diverses formes de profilage et de ciblage publicitaire poussés. Ces cinq plaintes ont donc été déposées devant quatre pays européens : elles visent d’abord à contester une violation potentielle du principe de minimisation de la collecte de données institué par le RGPD. Elles interrogent également les fondements juridiques qui autorisent Scale AI à déployer sans consentement des traceurs sur les ordinateurs d’annotatrices et annotateurs européens, ainsi que le bien-fondé de la collecte de données biométriques.

• IA : Au Parlement européen, des travailleurs du clic appellent à réguler l’entraînement humain

Beau bazar

Quel effet produit l’IA sur le développement open source ? Selon un rapport de la Linux Foundation, il est conséquent, entre augmentation de la production brute, abaissement du ticket d’entrée, obligation plus intense de relecture et épuisement d’une partie des personnes impliquées.

La question de la productivité et des transformations dans les processus est au cœur des questionnements autour de l’IA, les études, rapports et articles étant particulièrement nombreux depuis quelques mois. Dans les grandes lignes, les constats sont les mêmes : la production brute s’envole, mais l’IA impose sa « taxe de vérification », annulant une partie importante de ses bénéfices et ne débouchant pas sur une hausse des livraisons de produits finis dans les mêmes proportions.

• L’humain, goulot d’étranglement des gains de productivité par l’IA

La Linux Foundation souhaitait donc faire un point d’étape auprès de mainteneurs de projets open source, pour savoir comment leurs habitudes avaient changé, et surtout quels étaient les problèmes constatés. Une étude a ainsi été réalisée par Sam Boysel de la Linux Foundation et Anni Lai de Generative AI Commons, avec une préface de Brian Proffitt de Red Hat. L’entreprise a d’ailleurs financé le travail.

Un effet direct sur la production

Au cœur du rapport, on trouve un constat significatif : les effets de l’IA dépendent de la taille du projet. Ainsi, 59 % des mainteneurs ont observé une hausse du volume des contributions, le chiffre passant à 69 % dans les projets d’au moins 50 contributeurs. Un quart environ des demandes de fusion reçues sont jugées de faible qualité, 31 % dans les grands projets. C’est le fameux « slop » (ou bouillie) tant décrié, notamment par l’équipe de FFmpeg.

• FFmpeg, Google et la « bouillie » des rapports de bugs générés par IA

Sans trop de surprise, 52 % des mainteneurs indiquent que leur temps de relecture a augmenté, le chiffre passant à 64 % dans les grands projets. Dans ces derniers, l’épuisement est d’ailleurs devenu la première préoccupation, devant la qualité des contributions. Une nouvelle manifestation de la « taxe de vérification ». La vérification, justement, repose largement sur la confiance et l’inspection mutuelle, les attestations formelles se développant avec la taille du projet : 20 % dans les petits, 41 % dans les grands. Signe des temps : les trois quarts des mainteneurs interrogés ont indiqué recourir au moins partiellement à l’IA pour examiner les contributions reçues.

Une barrière d’entrée plus basse, mais une confiance dégradée

L’utilisation de l’IA au sein des projets est cependant très variable. 35 % seulement ont une politique écrite autorisant l’IA, 10 % l’interdisent, 23 % comptent en adopter une et le tiers restant n’a encore rien de prévu. Les politiques existantes portent surtout sur la divulgation et la responsabilité du contributeur (76 % chacune), beaucoup moins sur les licences (39 %). Les chiffres reflètent un paysage contrasté que nous avons pu voir à plusieurs reprises. Certains projets, dont Debian et le noyau Linux lui-même, n’ont plus aucun problème avec les contributions générées par IA, à condition que la personne qui les soumet soit en mesure de les expliquer. D’autres, comme Zig, Servo, Gentoo ou encore QEMU interdisent toute contribution générée par IA.

• Debian ne dit pas non à l’IA et divise la communauté

D’autres données intéressantes sont présentes dans le rapport. Par exemple, l’IA est utilisée dans toutes les étapes du développement : nouvelles fonctionnalités (83 %), débogage et tests (78 %), refactorisation (71 %), ou encore documentation (69 %). Sans surprise une fois de plus, les principaux gains de temps observés sont à 52 % sur l’écriture du code, mais les mainteneurs évoquent des gains se réduisant avec la complexité du projet. Sur les tâches complexes, 21 % indiquent même mettre plus de temps qu’avant.

Si les mainteneurs estiment à 71 % que l’IA abaisse la barrière d’entrée, elle dégrade aussi la confiance au sein de la communauté pour 53 % d’entre eux, quand 13 % seulement y voient une amélioration. Dans le même domaine, 46 % pensent que le besoin d’accompagnement des nouveaux venus dans un projet est supérieur.

La Linux Foundation avance ses recommandations

Le rapport, fourni très officiellement par la fondation, comporte huit recommandations applicables à tout projet libre. On y retrouve des prises de position déjà observées dans certains projets, qui sont également autant de constats faits par le rapport auprès des mainteneneurs :

• établir une politique claire et écrite sur les contributions assistées par IA et sur le signalement des vulnérabilités ;
• donner la priorité, dans cette politique, aux exigences de transparence et de divulgation. Les contributeurs doivent indiquer clairement et de façon constante aux mainteneurs les outils d’IA générative utilisés ;
• reporter la charge de la vérification sur les contributeurs, en exigeant une attestation sur l’honneur, des tests et une documentation des modifications assistées par IA avant leur soumission ;
• normaliser les pratiques d’attribution des contributions assistées par IA, afin que la divulgation ne reste pas laissée à l’appréciation de chacun. Une solution serait d’adopter et d’imposer le format « Assisted-by: » dans les commits ;
• utiliser l’IA comme outil de maintenance : les outils d’IA peuvent servir à trier, résumer et signaler les problèmes dans les contributions reçues, pour alléger la relecture et réduire l’épuisement des mainteneurs ;
• continuer d’investir dans l’accompagnement humain des nouveaux contributeurs : l’IA générative abaisse la barrière d’entrée, mais elle augmente le besoin d’encadrement une fois ces contributeurs arrivés, au lieu de le réduire ;
• mettre en balance les gains d’accessibilité apportés par l’IA générative et son coût pour la confiance au sein de la communauté, et concevoir des règles de contribution qui accueillent les nouveaux venus sans sacrifier la qualité ni la confiance ;
• une gouvernance de qualité et la confiance comptent davantage que l’amélioration des performances techniques.

En somme, chaque projet devra faire ses propres choix, car ces propositions ne sont pas des obligations. La Linux Foundation n’a d’ailleurs aucun pouvoir en la matière, l’un des principaux buts de la structure étant d’aider et de fournir des ressources, en plus de son effet structurant.

Entre conseils déclaratifs et « combattre le feu par le feu »

Certains points peuvent d’ailleurs faire hausser quelques sourcils. Par exemple, la recommandation d’utiliser le format « Assisted-by: » dans les commits est fait en référence directe au noyau Linux. Or, les mainteneurs de ce dernier ont récemment décidé de ne plus le rendre obligatoire. Linus Torvalds, en particulier, s’est montré très clair sur la question, avec une certaine véhémence face à un mainteneur du noyau qui militait pour préserver cette obligation. Même si le rapport a été clos en juin dernier, il ne tient pas compte de ce changement, qui reste antérieur à la publication de la Linux Foundation.

• Pour Linus Torvalds, le code généré par IA est légitime, à condition de savoir le lire

Cette synthèse affiche également plusieurs faiblesses. Outre son aspect purement déclaratif, le profil des mainteneurs interrogés est particulier, les répondants ayant été recrutés via les canaux de la fondation. 52 % des interrogés ont ainsi 11 ans ou plus d’ancienneté comme contributeurs et 75 % utilisent l’IA quotidiennement, tous usages confondus. En outre, les secteurs d’activité dominants sont les systèmes d’exploitation et l’infrastructure. On est donc plutôt face à un groupe de développeurs expérimentés, loin des contributeurs occasionnels, ce qui éloigne d’autant la vue de synthèse du paysage open source.

Le rapport apporte néanmoins plusieurs bénéfices, notamment des données chiffrées sur un sujet jusqu’ici traité surtout à travers quelques incidents et prises de position. Il montre aussi que la charge se concentre sur les grands projets et les équipes de mainteneurs, qu’il existe un retard manifeste sur la gouvernance des projets, ou encore que les tâches complexes n’affichent aucun gain voire prennent plus de temps.

Surtout, le rapport enfonce un peu plus le clou sur le glissement des coûts de la production de code vers sa vérification. Mais il pose aussi une question sans la trancher : comment préserver la confiance si l’IA élargit le vivier de contributeurs tout en affaiblissant les signaux qui permettaient de juger une contribution avant de la lire en détail ? Le libre se retrouve dans une position inconfortable, assis entre deux chaises, entre relecture systématique et filtrage à l’entrée pour les nouveaux venus.

Enfin, le rapport évoque dans son résumé du début une recommandation qu’il ne reconduit pas dans sa liste finale : « combattre le feu par le feu ». En d’autres termes, les mainteneurs devraient eux aussi utiliser l’IA comme premier maillon de la chaine de vérification, afin de retrouver du temps.

Apple continue de rafraîchir ses gammes : après l’iPad mini hier lundi, voici venir le tour de l’iMac et du MacBook Pro d’entrée de gamme. Principale nouveauté commune à ces machines : une puce M6.

Apple remet donc au goût du jour le MacBook Pro 14 pouces qui fait figure d’entrée de gamme. L’ordinateur portable intègre une puce M6 dotée d’un CPU et d’un GPU de 12 cœurs, avec 16 Go de mémoire unifiée et 1 To de stockage par défaut. Apple promet toujours jusqu’à 24 heures d’autonomie. Le modèle s’offre le support du Wi-Fi 7 et du Bluetooth 6.

• Apple M1 à M6 : six ans de puces en un coup d’œil

Les prix débutent à 2 299 euros pour ce modèle, soit 100 euros de plus que son prédécesseur avec puce M5. Le MacBook Pro, comme tous les autres Mac, a subi une vertigineuse valse des étiquettes en juin. À son lancement en octobre 2025, le MacBook Pro M5 était en effet proposé à partir de 1 799 euros, soit 500 euros de moins que son successeur.

Si Apple renouvelle régulièrement ses portables, c’est moins le cas de l’iMac dont la dernière mise à jour remontait à 2024. L’ordinateur emblématique du constructeur se rappelle à notre bon souvenir sur un mode mineur. La principale nouveauté est l’apport d’une puce M6 (contre M4 sur la précédente génération), mais dans deux variantes.

La puce de l’iMac d’entrée de gamme (à partir de 1 799 euros) comprend ainsi un CPU et un GPU de 10 cœurs, contre 12 cœurs pour le modèle à partir de 1 999 euros. Autres différences entre ces deux Mac : deux ports Thunderbolt/USB4 sur le premier contre quatre sur le haut de gamme, qui bénéficie aussi d’un port Ethernet 2,5 Gigabit, d’un clavier avec Touch ID et de 32 Go de mémoire en option.

Les configurations de base sont livrées avec 16 Go de mémoire unifiée et 256 Go de stockage. Et ces nouveaux iMac gagnent de meilleures connexions sans fil avec le Wi-Fi 7 et le Bluetooth 6. On appréciera qu’Apple conserve au catalogue les mêmes coloris qu’auparavant, ainsi que des prix qui n’ont pas augmenté par rapport à la hausse de juin.

Évidemment, la comparaison fait mal avec les prix pratiqués avant l’augmentation estivale : l’iMac entrée de gamme était alors proposé à partir de 1 499 euros, le haut de gamme à partir de 1 749 euros.

Fuite ou pas fuite ?

Fuites de données en série, chez les partis en campagne pour l’élection présidentielle ? En un week-end, un même pirate affirme avoir récupéré des données du Parti communiste français, de La France Insoumise et de Renaissance. Les deux derniers démentent toute nouvelle intrusion.

Un pirate informatique revendique avoir attaqué et récupéré des données de trois partis français, au cours du week-end du 23 au 25 octobre. Le Parti communiste (PCF), la France Insoumise (LFI) et Renaissance auraient été touchés, mais les deux derniers affirment que les données concernées étaient déjà accessibles en ligne.

Le Parti communiste va déposer plainte

Alerté par l’Agence nationale de la sécurité des systèmes d’information (ANSSI), le PCF a publié le 23 au soir un communiqué dans lequel il indiquait avoir « immédiatement engagé la sécurisation de ses systèmes, de ses outils informatiques et de ses bases de données ».

D’après ses constatations, la fuite affecte son fichier des adhérents et sympathisants – des données sensibles par essence, les opinions politiques faisant partie des données personnelles plus spécifiquement protégées par la loi –, mais ne comprend aucune donnée bancaire. Le parti de Fabien Roussel affirme par ailleurs qu’il va déposer plainte.

De son côté, le pirate revendique des données sur 190 000 personnes avec des noms, prénoms, adresses postales, emails et numéros de téléphone. Comme trop souvent en pareille situation, la victime ne communique pas, elle, sur l’ampleur précise du piratage. Cela rend impossible l’estimation du nombre de données directement issues de cette fuite du PCF, et du nombre de celles issues d’attaques antérieures. Or, une pratique « courante » des pirates consiste à multiplier les données ou à les agréger depuis diverses sources pour augmenter artificiellement le volume de ce qu’ils annoncent faire fuiter.

La France Insoumise et Renaissance démentent

Sous le pseudonyme de ChimeraZ, le pirate, qui multiplie les « coups d’éclat » depuis plusieurs mois, a de nouveau sévi les deux jours suivants. Le samedi, il affirmait avoir mis la main sur un fichier de près de 1,2 million de lignes de données de militants LFI. Le dimanche, rebelote, avec un fichier de 4,1 millions de lignes issues du parti Renaissance.

Dans ces deux cas, les partis démentent toute nouvelle intrusion. Le 24 octobre, le coordinateur LFI Manuel Bompard affirmait avoir « été informé de la circulation d’un ensemble de fichiers présentés comme issus de nos systèmes ». Après vérification interne, il indiquait : « aucune donnée personnelle de membres de la France insoumise n’a été divulguée au-delà de celles déjà disponibles publiquement (contacts d’événements par exemple) ».

En mai, LFI avait déjà été victime d’une fuite de liste d’adhérents ou sympathisants. Celle-ci était issue de son réseau social dédié, Action populaire. Dans le cas présent, le Fuites Infos et Le Parisien constatent que des numéros et des e-mails de militants sont aussi disponibles dans le fichier qui circule en ligne. Viennent-ils tous de la même source, ou bien s’agit-il de données agrégées de plusieurs fuites ? Impossible à dire.

De plus, ils relèvent que le document contient des éléments relatifs aux opérations de porte-à-porte pour les municipales de 2026 et pour la présidentielle de 2027. C’est notamment là qu’apparaît un doute sur le type de données collectées, relève Cyberattaque.org : la présence d’adresses au format Base Adresse Nationale ne permet pas de suggérer que ces données désignent les domiciles de militants. Elle indique seulement que ces données ont été incluses dans un outil pour l’organisation d’un porte-à-porte sur un territoire donné ou dans le cadre d’une campagne précise.

• Quels sont les risques liés aux multiples fuites de vos données personnelles ?

Chez Renaissance, de même, la direction affirme auprès du Parisien qu’« aucune donnée personnelle n’a été divulguée ». Concrètement, les données concernées incluent des adresses postales, des coordonnées GPS, des identifiants de campagnes politique, des suivis de visites de porte à porte et d’autres statistiques de terrain.

Le parti de Gabriel Attal déclare que les « éléments décrits correspondent à des informations publiques, soit disponibles via l’Insee, soit affichées sur notre plate-forme militante, consultables publiquement. Ils semblent avoir été collectés par extraction automatisée de ces pages ».

Période agitée pour les sites de partis politiques

Sans lien apparent, le site du parti Les Républicains a de son côté subi un défaçage, c’est-à-dire une modification de sa page d’accueil pour afficher des revendications, le 16 octobre.

D’après nos constatations, l’attaque visait principalement à appeler à la manifestation du lendemain et à adresser des insultes aux membres du parti. Ses auteurs affirmaient avoir récupéré des données internes, ce que des membres du parti politique ont nié auprès du Monde.

• Fuites de données : devant Bercy, des féministes demandent des comptes à l’État



France Études ?

Les lycéens se mobilisent depuis des semaines pour demander l’amélioration de leurs conditions d’étude et notamment l’abrogation de la plateforme Parcoursup symbole d’un système de sélection à l’entrée de l’enseignement supérieur. Le gouvernement vient d’en annoncer la modification pour 2027, son remplacement pour 2028 et l’ajout d’un outil d’orientation enrichi par l’IA. Reste à savoir ce qui remplacera la plateforme et le système de sélection qu’elle accompagne.

Depuis plusieurs semaines les lycéens, rejoints par les étudiants et d’autres mouvements, dénoncent un système scolaire à bout. Après l’envoi d’une répression policière violente et la volonté de Matignon de couper les réseaux sociaux « en cas de réitération de violences urbaines », le gouvernement a apporté sa première réponse politique. Celle-ci, sans stopper les appels à la mobilisation, inclut notamment la modification de la fameuse plateforme Parcoursup de préinscription en première année de l’enseignement supérieur. Cette plateforme a été mise en place pendant le premier quinquennat d’Emmanuel Macron, en 2018, avec la loi ORE (relative à l’orientation et à la réussite des étudiants) qui a généralisé la sélection dans l’enseignement supérieur français.

• Comment fonctionnent les algorithmes de Parcoursup
• Mobilisations : Matignon voulait couper les réseaux, le Gouvernement veut élargir Pharos

Le mouvement lycéen est parti de Mayotte cet été et s’est étendu à l’Hexagone via les lycées de Créteil et de la banlieue parisienne. Il pointe les emplois du temps surchargés, le manque de moyens et de personnel, des classes surchargées, un manque très concret de tables dans certaines salles, mais aussi le « stress engendré par Parcoursup ».

« Le souci du dématérialisé »

Seydou Ba, élève de terminale au lycée Charles de Gaulle, très en vue dans la mobilisation et militant LFI, pointait sur le plateau de France Info le 9 octobre le problème qu’il voit dans cette plateforme : « C’est le souci du dématérialisé : on se retrouve avec une plateforme face à nous, pas un être humain. Vous vous retrouvez face à Parcoursup et vous ne savez pas quoi faire, pas quoi dire, qui aller voir. »

À la demande de l’abrogation de la plateforme, le gouvernement répond en deux étapes : un aménagement de Parcoursup pour la session 2027 qui va commencer d’ici peu et le « remplacement » de la plateforme prévu pour 2028.

Un remplacement prévu pour 2028, des ajustements avant