Les doigts sur le Mac

Seuls les imbéciles ne changent jamais d’avis. Après avoir longtemps expliqué pourquoi un écran tactile n’avait rien à faire sur un Mac, Apple en équipe ses nouveaux MacBook Pro OLED vendus au prix fort.

Plus rien n’est sacré chez Apple, et surtout pas la parole de Steve Jobs. En 2007, durant la présentation de l’iPhone, il avait alors dit tout le mal qu’il pensait des stylets pour les téléphones de l’époque. Résultat : l’iPhone Duo est compatible avec l’Apple Pencil. Trois ans plus tard, durant une keynote consacrée aux Mac, Jobs avait expliqué pourquoi le constructeur privilégiait les trackpads aux écrans tactiles, qui se démocratisaient sur les PC Windows à l’époque.

« Les surfaces tactiles ne sont pas faites pour être verticales », expliquait-il. « Ça fait son petit effet dans les démonstrations, mais au bout d’un moment, la fatigue se fait sentir et, à la longue, vous avez l’impression que votre bras va tomber. » En 2012, c’était Tim Cook qui, durant des résultats trimestriels, critiquait les hybrides PC-tablettes : « On peut combiner un grille-pain et un réfrigérateur, mais le résultat ne sera probablement pas très agréable à utiliser. »

Après avoir vécu des décennies dans le déni, voilà qu’Apple lance aujourd’hui… un MacBook Pro avec écran tactile. Sans apporter de réponse vraiment convaincante aux objections de ses deux précédents CEO, le tout à un prix ahurissant.

Apple découvre les joies de l’écran qu’on touche

Le MacBook Pro avec écran PROLED XDR, c’est bien son nom, troque le mini-LED pour de l’OLED de 14,2 ou 16,3 pouces (254 pixels par pouce). Apple ne faisant rien comme tout le monde, il s’agit d’un écran « en tandem » qui maintient « une luminosité et des niveaux de gris uniformes sur l’ensemble de l’écran tout en réduisant au minimum les reflets internes courants des designs OLED traditionnels ». On se demande comment faisaient les constructeurs concurrents qui proposent des portables OLED depuis des années.

OLED oblige, la dalle affiche un contraste très élevé (10 000 000:1), et propose une luminosité allant jusqu’à 2 000 nits pour les contenus SDR et HDR, avec une luminosité minimale de 1 nit. Contrairement à l’iPad mini qui malgré son nouvel écran OLED reste cantonné à du 60 Hz, ce MacBook Pro bénéficie d’un rafraîchissement ProMotion de 10 à 120 Hz. Que va-t-on bien pouvoir faire avec tout ça ? Les graphistes fortunés pourront profiter du support de la gamme de couleurs P3 et désormais Adobe RGB.

L’autre grande nouveauté de ce portable, c’est bien sûr qu’on peut mettre les doigts sur l’écran. Faire défiler une page web, zoomer dans une photo, glisser-déposer des documents, toucher une fenêtre deux fois pour l’afficher en plein écran… Tout ce qu’on a l’habitude de faire sur un iPhone ou un iPad devient possible sur ce Mac. Dommage qu’il ne prenne pas en charge les Apple Pencil ; niveau précision, rien ne vaudra donc ce bon vieux trackpad naturellement positionné sous la main. La charnière a d’ailleurs été repensée pour éviter de déséquilibrer le portable avec les mouvements tactiles.

John Ternus, le directeur général d’Apple, ne surjoue pas la partition de la révolution. Dans une interview à WIRED, il explique que le Mac « reste avant tout un appareil à interaction indirecte, conçu autour du trackpad et du clavier. Mais je pense qu’il y a des moments où le tactile est agréable et pratique. »

« Il fallait que nous arrivions à un stade où l’ajout du tactile ne compromette en rien le produit. Qu’il ne le rende ni plus lourd ni plus épais. Nous y sommes parvenus avec l’écran OLED, le meilleur écran que nous ayons jamais intégré à un Mac. Tout cela, avec, en prime, le tactile. »

Poids plume, mais une facture qui s’alourdit

Si ce MacBook Pro fait toujours l’impasse sur Face ID, il gagne en revanche une Dynamic Island, comme sur l’iPhone. L’encoche disparait donc, et ce poinçon dans l’écran est aussi une zone où s’affiche des activités en direct (comme le lecteur audio) et des notifications.

Sur le plan matériel, le MacBook Pro avec écran PROLED XDR a été conçu dans un châssis plus fin et plus léger. Le modèle 14 pouces pèse ainsi 1,38 kg contre 1,6 kg pour le modèle sans écran tactile. La version tactile de 16 pouces revient à 1,82 kg, au lieu de 2,14 kg sur le MacBook Pro similaire mais pas tactile. Les nouveaux portables réduisent aussi leur épaisseur respectivement de 0,5 et 1 mm. L’architecture thermique a été repensée pour accommoder le châssis.

Au niveau des puces, pas de miracle : Apple confie les rênes du MacBook Pro tactile aux M5 Pro et M5 Max déjà à l’œuvre sur la gamme actuelle des 14 et 16 pouces classiques. Seule la version d’entrée de gamme a eu droit cette semaine à une puce M6. Pas de changement non plus pour les entrées/sorties, avec les 3 ports Thunderbolt 5 en USB-C, un port HDMI, un lecteur de carte SDXC et un port jack (ouf).

En termes d’autonomie, on reste sur les mêmes durées que les modèles actuels : jusqu’à 14 heures de navigation sans fil pour le 14 pouces, et 17 heures sur le 16 pouces. La capacité des batteries n’a pas changé (72,6 Wh et 100 Wh).

Le MacBook Pro classique 14 pouces avec M5 Pro commence à 2 899 euros, et le 16 pouces M5 Pro à 3 399 euros, ce qui n’est déjà pas à la portée de la première bourse venue. Le MacBook Pro avec écran PROLED XDR (il va falloir s’y faire) est logiquement encore plus onéreux. Le 14 pouces débute à 3 299 euros avec une puce M5 Pro, et 5 199 euros avec une M5 Max. Le 16 pouces commence à 3 899 euros (M5 Pro) et 5 599 euros (M5 Max). C’est avant l’ajout d’options de mémoire et de stockage. Par défaut, ces portables sont fournis avec 24 Go de mémoire unifiée et 1 To de stockage.

Envie d’un sandwich à la crème glacée fondue ?

Next vous explique comment donner une seconde vie à une tablette de 15 ans, bloquée sous Android 4.0 : elle peut devenir un écran déporté pour Home Assistant et ainsi gérer la domotique de la maison. Cela demande quelques manipulations, mais le résultat est à la hauteur des attentes.

Que faire d’une tablette qui a déjà 15 ans ?

Au fond d’un tiroir dans la Gavcave se cachait une tablette ASUS Eee Pad Transformer TF101 (cette gamme est ensuite devenue Transformer Pad). Lancée en 2011 (il y a donc déjà 15 ans) elle dispose d‘un écran de 10,1″ (1 280 x 800 px) avec un Tegra 2 aux commandes épaulé par 1 Go de mémoire vive.

Lancée avec Android 3.0, elle était par la suite passée sous Android 4.0 (alias Ice Cream Sandwich), la version installée sur notre tablette. Une fois branchée, elle est revenue d’entre les morts d‘un simple appui sur le bouton Power.

La batterie tient encore relativement bien pour son âge et ne montre aucun signe d’usure particulier (aucun gonflement par exemple). Elle sera par contre à surveiller de près, surtout si la tablette reste branchée en permanence.

Une question s’est alors posée à nous : qu’en faire ? La déposer pour recyclage est une solution, une autre est de la réutiliser… mais pour quel usage ? Avec Android 4.0, il est impensable d’aller sereinement sur Internet, la tablette n’a plus aucune mise à jour depuis de nombreuses d’années.

Pire encore, le système ne supporte que TLS 1.0 nativement, même pas les 1.1, 1.2 et 1.3. Sans oublier que son navigateur et son SoC (qui ne supporte même pas les instructions NEON) ne prennent pas en charge les technologies récentes. Notre point de départ est de l’utiliser telle quelle, sans passer par l’installation d’une ROM alternative, comme KatKiss avec Android 7 (qui n’est plus supporté depuis des années lui non plus).

Surfer sur Internet on oublie, contrôler sa domotique par contre…

Bref, oublions le moindre accès à Internet… mais on a tout de même tenté. La plupart des sites refusent de s’afficher. La page d’accueil de Google se charge, mais la moindre recherche plante. Il reste des pages en HTML qu’il est possible de charger. Nous avons alors tenté de transformer la tablette en écran de contrôle Home Assistant.

Ça marche ! Il devrait en être de même sur d’autres tablettes du même âge bloquées sous une version antédiluvienne d’Android avec un matériel qui aurait davantage sa place dans un musée. Voici les explications et le code que nous avons utilisé.

No kings, ça s'adresse aussi à Mark ?

Alors que les élections de mi-mandat arrivent, Mark Zuckerberg est sommé par des élus démocrates de s’expliquer sur le blocage temporaire d’un compte « No Kings » qui co-organise des manifestations aux États-Unis contre l’autoritarisme de Donald Trump.

Le compte Instagram No Kings Coalition est maintenant accessible et l’équipe qui le gère a de nouveau la main dessus. Mais le 17 octobre, ce compte a été suspendu pendant un peu plus d’une heure, sans pouvoir être administré pendant plus de trois heures. Meta s’est excusée et a affirmé que c’était un problème technique, mais la question est reprise par des élus démocrates alors que la campagne électorale des mid-terms arrive à sa fin.

Cette campagne politique reprend le mot d’ordre « No Kings » qu’on peut retrouver régulièrement dans les manifestations contre Donald Trump aux États-Unis depuis octobre 2025. Le dirigeant avait critiqué, il y a un an, ce mouvement avec une vidéo scatologique générée par IA.

Le compte No Kings Coalition a plus de 27 000 abonnés et, au-delà de ces manifestations, pousse les états-uniens à aller voter (notamment en avance et par correspondance, puisque le système électoral de nombreux États le permet) avec des slogans comme « vote early ».

Meta explique le problème par une utilisation intensive de Claude

Les animateurs du compte semblent utiliser des outils d’automatisation et c’est ce genre de pratiques qui auraient, selon Meta, déclenché le blocage du compte. « Lorsque des comptes publient, partagent ou commentent à une fréquence très élevée, cela peut déclencher des systèmes automatisés. C’est ce qui s’est produit avec le compte Instagram « No Kings » à l’approche de la journée d’action d’aujourd’hui » affirmait Andy Stone le 18 octobre , porte-parole de Meta. « Malheureusement, cette intervention automatisée était manifestement une erreur. Tout fonctionne désormais comme il se doit et nous vous présentons nos sincères excuses », a-t-il ajouté.

L’équipe en charge du compte a posé huit questions à l’entreprise dans une lettre ouverte [PDF] pour en savoir plus. Comme par exemple : « Quelles actions spécifiques menées par le compte No Kings Coalition auraient enfreint les règles de Meta, et quelles règles étaient concernées ? ». L’entreprise a expliqué le blocage par « le fait que [ses] systèmes de sécurité réseau ont détecté une augmentation spectaculaire de l’utilisation d’un outil Claude pour analyser les profils, les publications et les hashtags ». « Par rapport à ce que [ses] systèmes avaient observé auparavant, le rythme de cette activité a été multiplié par quatre environ lors de pics intenses le 17 octobre », a-t-elle ajouté.

Une réponse qui ne satisfait pas les activistes

Cette réponse n’a pas suffi à No King Coalition qui demande [PDF] à Meta de répondre aux « questions plus générales de transparence, de responsabilité et d’ingérence potentielle dans les communications publiques au cours d’une élection encore en cours ».

L’équipe est donc maintenant soutenue par deux membres démocrates de la Chambre des représentants des États-Unis, Robert Garcia et Jamie Raskin. Dans une lettre ouverte [PDF] à Mark Zuckerberg, les élus demandent eux aussi plus de détails car « Meta a la responsabilité de ne pas porter atteinte à l’intégrité de nos élections ni d’enfreindre le droit du public à mener des activités politiques protégées par la Constitution », écrivent-ils. Ils demandent à l’entreprise de leur présenter, « au plus tard le 9 novembre 2026, un exposé sur ses mesures en matière de sécurité électorale et sur ces incidents ».

Dans leur lettre, les deux élus font aussi référence aux élections au Brésil où Meta a été sommée par la justice de prouver qu’elle ne faisait pas d’ingérence.

• Ce que la réélection de Lula nous dit du terrain médiatique numérique

Le saviez-vous ? Il existe une version de Copilot pour les télés connectées, mais les jours de cet assistant sont comptés. LG a en effet commencé à prévenir les utilisateurs de ses téléviseurs sous webOS que « Microsoft a récemment décidé de mettre fin à la prise en charge de Copilot sur tous les téléviseurs, y compris les fonctionnalités intégrant Copilot proposées sur nos téléviseurs LG ». La fenêtre pop-up est partagée par Windows Central.

Par conséquent, Copilot va tirer le rideau entre aujourd’hui et la fin de l’année, au moins sur les télés LG. Microsoft n’a cependant pas communiqué officiellement sur le sujet. L’arrivée de l’assistant ne s’était pas faite dans la douceur : en fin d’année dernière, LG et Samsung avaient installé l’application Copilot sur leurs smart TV automatiquement. Une app impossible à supprimer, d’après des témoignages de l’époque.

Dans les faits, on peut se demander si un téléspectateur a jamais utilisé les services de Copilot depuis son canapé. Il peut poser des questions en lien avec ce qui se passe à l’écran, recevoir des recommandations personnalisées de contenus, ou encore demander la météo ou une précision sur telle ou telle actualité.

C’était à un moment où Microsoft voulait encore imposer Copilot partout, parfois en dépit du bon sens. L’éditeur a retrouvé une certaine sobriété depuis. Le projet d’intégrer Copilot dans Xbox a finalement été abandonné au printemps. En septembre, il rassemblait toutes ses applications en une seule (quitte à complexifier l’utilisation de l’assistant). Plus largement, Microsoft a aussi décidé de mettre (un peu) de côté l’IA pour serrer les boulons d’un Windows 11 tout de guingois.

Merci qui ? Merci l’IA

Apple ouvre Xcode et Keynote à de nouveaux formats de fichier basés sur JSON. Il s’agit en priorité de faciliter la vie des agents IA, mais les développeurs de chair et de sang vont aussi en profiter.

Depuis sa version 27.2, Xcode, l’environnement de développement d’applications d’Apple, propose un nouveau format de projet (.xcproj) basé sur JSON. Il en ira bientôt de même pour l’application de présentation Keynote avec la prise en charge à venir des fichiers .keyx (Keynote Interchange Format), un format qui repose lui aussi sur JSON.

Des fichiers plus faciles à lire et à modifier

Apple vante des formats plus faciles à exploiter par les outils tiers et les agents IA. Le xcproj est « plus simple à modifier pour les agents IA », tandis que le keyx est conçu pour être « lisible et accessible aux outils externes, aux workflows de développeurs et aux agents d’IA ». En ce qui concerne Xcode en particulier, les développeurs réclamaient depuis des lustres un format de fichier moins complexe et plus lisible.

Comme son acronyme l’indique, le format de données JSON (JavaScript Object Notation) repose sur la notation des objets du langage JavaScript. Il décrit des éléments et leurs propriétés : le titre d’une diapositive par exemple, ou encore les réglages d’un projet Xcode. Très répandu, il peut être lu et modifié par de nombreux outils. Le choix du JSON ne fait pas tout : l’organisation des données compte tout autant pour rendre un fichier facile à exploiter.

Cette structure claire profite aussi bien aux humains qu’aux agents IA, pour identifier des éléments, leurs propriétés et les relations entre eux. Les agents peuvent dès lors intervenir plus facilement dans les fichiers pour créer des diapositives, remplacer des données ou modifier des réglages dans un projet Xcode. Les fichiers JSON ne garantissent pas la lisibilité du document, mais ils rendent le travail moins casse-tête.

Comme le rappelle John Gruber, l’ancien format de projet pour Xcode (.pbxproj) utilise une liste de propriétés héritée de NeXT. Un format ASCII « étonnamment proche de JSON » relève l’observateur, mais qui précède non seulement JSON mais aussi JavaScript.

Ce format représente les éléments avec des identifiants sans signification évidente. Une petite modification dans Xcode peut entraîner plusieurs changements à différents endroits du fichier du projet. Techniquement, le fichier reste lisible par un humain, et donc par un agent IA, mais les références croisées entre éléments obscurs rendent les modifications manuelles (via un éditeur de texte par exemple) assez délicates.

L’IA avant les humains

L’adoption de formats mieux structurés et documentés est donc une bonne nouvelle, aussi bien pour Keynote que pour Xcode. Même si, comme le déplore le développeur Rob Napier, Apple donne l’impression d’avoir cédé très rapidement à l’IA alors que les humains réclamaient un tel changement depuis des années : « C’est frustrant qu’il ait fallu l’argument « ça peut aider l’IA » pour que les choses bougent. »

En ce qui concerne Keynote, ce nouveau format – pas encore disponible – pourrait bien représenter un véritable bouleversement pour le vénérable logiciel. Les fichiers .key actuels regroupent les médias (images, vidéos, sons) et les descriptions des objets de la présentation dans des fichiers .iwa (textes, mise en forme). Et comme l’indique MacGeneration, ces fichiers sont difficiles à exploiter avec des outils autres que Keynote.

Keynote était pourtant parti d’un bien meilleur pied : en 2003, la première version du logiciel utilisait le format APXL (Apple Presentation XML), autrement dit un fichier XML décrivant la présentation, accompagné des ressources associées. C’est en 2013 que le constructeur a basculé dans la structure actuelle, difficile à lire.

Ciblage beaucoup plus que publicitaire

L’entreprise de marketing israélienne Discover-Tech a participé à une attaque zéro-clic installant un logiciel espion via des publicités. Elle vise particulièrement les utilisateurs du réseau Starlink, selon des sources de l’agence de presse Reuters.

L’agence de marketing israélienne Discover-Tech, impliquée dans la diffusion d’un logiciel espion via une attaque zéro-clic, est aussi une des entreprises qui enchérissent le plus pour obtenir des publicités sur le réseau Starlink. Ainsi, elle serait en capacité de localiser assez facilement des utilisateurs de ce réseau qui permet à ses utilisateurs de passer à travers les surveillances gouvernementales.

Mi-octobre, on apprenait que Discover-Tech avait mis au point une attaque zéro-clic installant un logiciel espion via la publicité ciblée. Les chercheurs de Citizen Lab et de Cinfiant avaient constaté que des appareils des équipes du média Al Jazeera avaient été choisis pour être infectés avec un logiciel espion attribué à la société Candiru.

En parallèle, des chercheurs de l’entreprise de sécurité Trend Micro publiaient un rapport sur les activités d’un groupe nommé SHADOW-EARTH-79 qui utilise aussi la publicité ciblée pour « suivre et établir le profil de personnes se trouvant dans des zones de conflit, des États soumis à des sanctions et d’autres lieux sensibles à travers le monde ».

Des sources anonymes affirment que Discover-Tech et SHADOW-EARTH-79 sont la même entité

Selon plusieurs sources de Reuters, Discover-Tech est l’entité réelle qui se trouve derrière le groupe SHADOW-EARTH-79. Les chercheurs de l’unité TrendAI de Trend Micro ne citent pas le nom de l’entreprise israélienne : cette unité s’est donné des règles très prudentes concernant l’attribution des menaces cyber qu’elle découvre. Mais six sources ont confirmé à l’agence de presse que Shadow-Earth-79 est le nom de code utilisé par TrendAI pour désigner Discover-Tech.

Selon TrendAI, ce groupe est sur le trafic des adresses IP de Starlink, ce groupe est la deuxième entreprise concernant le nombre d’enchères gagnées pour placer des publicités (12,9%) derrière l’entreprise américaine de marketing ciblé Steelhouse  qui a obtenu 38,4 % des enchères sur une période de 90 jours étudiée.

TrendAI a pu observer que ce groupe avait gagné des enchères publicitaires dans 150 pays concernant le trafic des adresses IP de Starlink. « Certains de ces pays (le Cameroun, la Syrie, le Soudan, la Birmanie et la Libye) sont des pays où Starlink est officiellement interdit ou soumis à des restrictions réglementaires », remarquent-ils dans leur rapport. Mais on peut y voir qu’y figurent aussi la France, l’Italie ou l’Espagne où le groupe est premier enchérisseur concernant les pubs du trafic de Starlink.

Infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale

Concernant les enchères publicitaires sur tout le trafic (et non plus seulement Starlink), selon TrendAI, ce groupe est « le premier enchérisseur dans 49 pays où les données publicitaires font l’objet d’enchères ». « Dans plusieurs cas, il détient une part incroyablement dominante de l’ensemble des enchères, ce qui ne correspond pas à un achat publicitaire concurrentiel normal », ajoutaient les chercheurs en cybersécurité. Ils pointaient notamment son « quasi monopole » en Hongrie, en Israël, en Égypte, en Azerbaïdjan et au Venezuela où le groupe fait entre 72 % et 91 % des offres.

Le rapport de TendAI concluait que « les éléments de preuve recueillis indiquent, avec un niveau de confiance modéré à élevé, que la présence publicitaire de SHADOW-EARTH-79 sert d’infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale ».

Contactées par Reuters, Discover-Tech mais aussi SpaceX n’ont pas répondu aux demandes de commentaires sur le sujet de nos confrères.

En mai dernier, Intelligence Online expliquait qu’une autre entreprise israélienne, Targeteam qui a aussi un bureau à Chypre, allait dévoiler un nouvel outil dédié à la désanonymisation des utilisateurs du système Starlink. Cette entreprise est la « nouvelle aventure business d’un vétéran du secteur cyber israélien et légende de l’export, Ron Zilka », selon nos confrères. De son côté, le média israélien Haaretz parlait de deux entreprises du même pays capables de localiser les terminaux satellitaires de Starlink alors que ce système permet, par exemple, à l’armée ukrainienne de se défendre face à l’envahisseur russe. Mais récemment, le pays de Volodymyr Zelensky a accusé Starlink d’avoir restreint l’accès à Internet de ses forces militaires.

Ne pas commenter, ne pas partager, ne pas interagir

De la contestation du rôle des algorithmes de Meta aux multiples recours à l’IA générative en passant par le succès initial du « parti digital » de Bolsonaro, la campagne présidentielle brésilienne est riche d’enseignements sur la forme que les discours politiques prennent désormais en ligne en contexte électoral.

Comment expliquer la réélection de Luiz Inácio Lula à la tête du Brésil ? Dans quelle mesure le traitement de son discours par les réseaux sociaux dominants explique-t-il son arrivée derrière Flávio Bolsonaro, au premier tour de l’élection présidentielle ? Et qu’est-ce qui a permis au président sortant de gagner en quelques semaines près de dix millions de votes (de 45 % des suffrages au premier tour, contre 47 % pour le fils Bolsonaro, Lula a terminé avec 51,7 % des voix exprimées au second tour, contre 48,2 % pour son adversaire) ?

Aucune victoire politique n’est possible sans mobilisation concrète sur le terrain. Mais la politique, aujourd’hui, se joue aussi bien sur le terrain physique que sur le terrain numérique. Or, pendant la campagne brésilienne, le rôle des réseaux sociaux a été questionné à de multiples reprises, y compris par les deux principaux candidats.

Alors que les élections présidentielles françaises se profilent, la récente campagne brésilienne permet d’ouvrir quelques axes de réflexion sur le visage que pourraient prendre les débats à venir. Et ce, que ce soit en termes d’ingérence étrangère, de violence numérique issue de l’intérieur ou de l’extérieur du pays, ou encore de recours habile à certaines fonctionnalités sous-estimées d’outils numériques du quotidien.

Une campagne menée par le « parti digital » de Bolsonaro

Plus que jamais, la propension des réseaux sociaux à orienter le discours dans une direction politique plus qu’une autre a été mise en débat au Brésil. Sur place, comme ailleurs dans le monde, le sujet n’a rien de neuf.

Vitesse et précipitation

Une faille de sécurité critique a été découverte dans la plupart des firmwares UEFI utilisés dans les serveurs. Bien qu’elle ne requière pas d’authentification, il faut remplir plusieurs conditions pour l’exploiter, dont l’utilisation du PXE pour le démarrage réseau.

Quand on allume un ordinateur, un petit logiciel est d’abord chargé d’initialiser le matériel et de préparer les conditions au lancement du système d’exploitation. On l’a historiquement appelé « BIOS » (Basic Input/Output System), mais il s’agit depuis longtemps d’un microgiciel (firmware) nommé UEFI (Unified Extensible Firmware Interface). Parmi les fonctions apportées par ce firmware plus moderne, des fonctionnalités réseau en standard.

Dans la grande majorité des cas, les constructeurs n’écrivent pas leur UEFI depuis zéro. Ils se basent sur des travaux existants, en particulier EDK II, une base de code libre maintenue par le projet TianoCore. Presque tous les éditeurs de firmware – dont AMI, Insyde et Phoenix – s’en servent copieusement, y compris Project Mu, une variante renforcée (durcie) d’EDK II maintenue par Microsoft.

Or, c’est dans cette base EDK II que réside la faille.

Un débordement en mémoire

La faille en question, estampillée CVE-2026-97631, réside dans la fonction de démarrage réseau, ou PXE. Quand elle est activée, la machine ne démarre pas sur son disque, elle récupère son système sur un serveur distant. Ce mécanisme est largement utilisé dans les centres de données pour installer ou réinstaller en masse des serveurs.

Pendant ce démarrage réseau, le pilote PXE (NetworkPkg ou UefiPxeBcDxe) attend d’éventuels messages d’erreur ICMP. S’il en reçoit, il les copie dans une zone de mémoire de taille fixe, précisément 504 octets. Il existe deux variantes du code pour le réseau, une pour IPv4, l’autre pour IPv6. C’est là que réside le problème : dans les deux cas, la copie en mémoire continue même si le message d’erreur dépasse les 504 octets. En outre, le pointeur de destination avance sur la base du total cumulé au lieu de la taille du seul fragment copié.

Dans le scénario d’une attaque, un pirate peut donc exploiter ce mécanisme pour écrire un message trop long, avec des octets choisis en dépassement de la zone prévue en mémoire. Rien en amont ne limite la taille du message, renforçant l’ampleur du problème. Le pirate peut donc glisser des instructions dans ces octets, qui seront alors exécutées par le firmware UEFI.

Les conditions d’exploitation

La faille CVE-2026-97631 affiche un score CVSS 4.0 de 9,5 sur 10, soit très près du maximum. Le seul facteur limitant la portée de l’exploitation est l’obligation d’utiliser PXE, ce qui n’arrive que dans des environnements spécifiques, et a priori pas chez le grand public. Autre condition tout de même, il faut connaitre la version exacte du firmware que l’on veut attaquer.

Si ces deux conditions sont remplies, tout ce que le pirate a à faire est d’envoyer un message d’erreur ICMP spécialement conçu pour y glisser des commandes. Aucune authentification n’est nécessaire. De plus, puisque les commandes sont exécutées à un stade très précoce de la chaine de démarrage, ni Secure Boot ni le démarrage mesuré n’ont le temps d’intervenir.

C’est l’accumulation de ces deux éléments – aucune authentification et déclenchement avant tous les mécanismes de sécurité – qui donne son score de gravité à la faille. S’il parvient à exploiter la faille, le pirate a même le choix : se servir de la corruption mémoire pour provoquer une exception processeur et le blocage du démarrage, ou l’exécution du code qui aura alors le niveau de privilège le plus élevé. Même si ce code ne survit pas lui-même au redémarrage, il peut être utilisé pour installer des composants persistants.

Une divulgation « ratée »

La faille a été découverte par Alex Matrosov d’Anthropic et Dan Holmes-Mitra de Google, qui ont également fourni la solution recommandée. On ne sait pas quand cette découverte a eu lieu, mais la communication de l’équipe de TianoCore a entrainé une réservation de l’identifiant CVE le 24 septembre.

En théorie, les détails d’une telle vulnérabilité restent secrets jusqu’à ce que ces correctifs soient disponibles, mais il y a eu une erreur. Ars Technica parle de « divulgation ratée » : AMI a publié fin septembre une demande de modification publique qui décrivait la faille et contenait le correctif. Alex Matrosov et Dan Holmes-Mitra s’en sont aperçus, ont prévenu TianoCore, qui a alors décidé de rendre public l’avis de sécurité le 22 octobre.

En outre, bien que le correctif ait effectivement été proposé, les différentes parties s’étaient mises d’accord pour attendre une publication des détails en janvier. L’erreur d’AMI a précipité le calendrier, car le délai devait servir aux éditeurs de firmwares à proposer de nouvelles moutures. Il faut désormais surveiller ce que des entreprises comme Dell, Lenovo, SuperMicro ou encore HPE publient. Selon les cas, le mécanisme de mise à jour peut être plus ou moins complexe, mais il réclame dans tous les cas un temps d’immobilisation du serveur.

Les firmwares concernés sont a priori très nombreux, sur la base du code vulnérable d’EDK II. Ars Technica a interrogé Intel et Arm sur la portée du problème, les deux entreprises affirmant que leurs produits ne sont pas concernés. Nos confrères indiquent cependant que l’une comme l’autre utilisent amplement EDK II comme base de référence. Dans le cas d’Intel, le dépôt GitHub pour les binaires FSP (Firmware Support Package) mentionne clairement EDK II et TianoCore. Même chose pour Arm. D’autres entreprises comme AMD, Microsoft et Amazon n’ont pas répondu aux questions de nos confrères, mais elles sont très probablement concernées aussi.

La méfiance est donc de mise. Il est recommandé de dresser l’inventaire des machines utilisant PXE. Si parmi elles certaines l’ont activé sans l’utiliser, mieux vaut le désactiver pour supprimer la surface d’attaque. Si la fonction est nécessaire, il est recommandé de garder le trafic de démarrage sur un segment isolé du réseau, de surveiller les pages de support des constructeurs ou des éditeurs impliqués et de filtrer les messages ICMP inattendus.

Toujours pas de lumière au bout de Tunnel

Intel ne laisse pas tomber l’informatique quantique, la recherche continue. C’est en substance le message de son patron, mais aussi de ses équipes que nous avons rencontrées à Teratec. La nouvelle version de Tunnel Falls attendue pour 2024 n’a par contre jamais vu le jour.

Cela fait bien longtemps qu’Intel s’intéresse à l’informatique quantique, comme en témoigne, début 2018 (à l’occasion d’une keynote de Brian Krzanich pour le CES de Las Vegas), l’annonce de la puce Tangle Lake de 49 qubits. Fin 2019, Intel remet le couvert avec Horse Ridge, une puce de contrôle capable de gérer jusqu’à 128 qubits.

Intel au bout du Tunnel ?

En 2023, Intel présente Tunnel Falls, sa première puce quantique sur une base de silicium avec 12 qubits. Il existe, pour rappel, plusieurs technologies pour développer des processeurs quantiques (atomes froids, photons…), mais aussi le silicium. À la fin des années 2010, Intel travaillait à la fois sur des qubits supraconducteurs (Tangle Lake) et des qubits de spin sur silicium.

Démerdez-nous avec ça

L’entreprise de Sam Altman continue de promouvoir la puissance de ses outils en les employant sur divers problèmes de recherche scientifique. Mais n’ayant pas les compétences en interne, elle cherche toujours à savoir comment rendre publique cette production sans trop fâcher la communauté scientifique.

Depuis le printemps, OpenAI comme Anthropic bandent les muscles en annonçant régulièrement des « découvertes » scientifiques. Ainsi, fin septembre, l’entreprise de Dario Amodei affirmait, elle, avoir découvert un nouveau système enzymatique, « dont la structure rappelle celle du système CRISPR » alors que tout le travail de recherche en biologie reste à faire pour démontrer ce qui n’est pour l’instant qu’une hypothèse.

• Non, Anthropic n’a pas découvert un système biologique comparable à CRISPR

Après avoir inondé la recherche avec 722 « prépublications » de mathématiques générées par IA, OpenAI vient encore d’annoncer sans prendre de pincettes « trois nouvelles découvertes en mathématiques, en informatique et en physique, portant respectivement sur l’analyse harmonique, la théorie de la complexité et la théorie quantique des champs ». Mais, encore une fois, les résultats n’ont pas été relus par des chercheurs.

Comme ces entreprises d’IA générative en ont pris l’habitude, c’est dans un billet de blog qu’OpenAI a fait l’annonce de ces « découvertes » scientifiques. Mais l’entreprise patauge encore dans sa façon de gérer le partage de ses résultats aux communautés de chercheuses et chercheurs qui travaillent parfois depuis des années sur les sujets auxquels elle s’attaque. Car, n’ayant pas d’employés capables de s’attaquer à tous ces sujets, elle se retrouve avec des problèmes qu’elle ne peut maitriser en interne. Ainsi, comme différents chercheurs nous l’ont souligné, ces résultats restent « la première étape d’une découverte scientifique, pas la dernière ».

Consultations de « guides » pour savoir quoi faire de ces « résultats »

La mise en ligne des 722 « prépublications » à différents stades de vérification ne semble pas être la solution miracle pour un partage serein avec les chercheurs. OpenAI tente donc encore une autre méthode. Elle indique faire appel à des experts externes qu’elle qualifie de « guides » (shepherds, en anglais), mais dont elle ne donne pas les noms.

Concernant le problème de maths dont elle affirme que ses modèles ont produit une preuve de sa résolution, OpenAI n’a contacté un expert que pour « discuter de la mise en place d’une collaboration autour de ce résultat », pas pour être conseillée sur la méthode de publication. Cet expert lui aurait recommandé de rendre publique sa production, comme avec les 722 « prépublications ».

OpenAI affirme que ses modèles ont « établi une preuve de la conjecture de lissage local dans toutes les dimensions et ont ainsi également résolu la conjecture de Kakeya et la conjecture de restriction de Stein dans toutes les dimensions ». En juillet dernier, la mathématicienne Hong Wang venait de se voir attribuer la médaille Fields notamment pour cette conjecture de Kakeya en dimension trois, comme l’expliquait le Journal du CNRS.

En informatique théorique et physique, des collaborations initiées avec certains chercheurs

En informatique, les travaux générés par OpenAI concernent une hypothèse de difficulté calculatoire : l’Exponential Time Hypothesis. L’entreprise soutient que cette hypothèse est « fausse ». Cette fois, un groupe d’experts (Russell Impagliazzo de l’UC San Diego, Ramamohan Paturi de l’UC San Diego et Ryan Williams du MIT) a accepté d’accompagner OpenAI dans la vérification de ces travaux, mis en ligne sur GitHub.

Ces trois chercheurs ont aussi publié une lettre adressée à leur communauté : « Notre implication ne doit pas être interprétée comme une validation de cette affirmation. Un résultat d’une telle importance nécessite un examen minutieux et indépendant, ainsi qu’une compréhension que d’autres puissent reproduire, remettre en question et développer ».

Sur la publication de ces travaux, OpenAI est cependant accusée – une nouvelle fois – de mauvaises pratiques scientifiques en s’appuyant sur des travaux d’autres chercheurs sans les citer et en les prenant de vitesse sans réellement maitriser ce qu’elle fait.

Le mathématicien Levent Alpöge, qui travaille pour Anthropic et qui avait déjà pointé ce genre de problèmes concernant OpenAI et les maths, a expliqué sur X que son confrère Ethan Sussman de l’université Northwestern avait beaucoup avancé sur le sujet et partagé ses résultats avec la communauté. « Je n’ai cessé de lui répéter de ne pas se montrer trop déférent et modeste, car on lui volerait la vedette à la première occasion. Au lieu de le contacter pour collaborer avec lui, comme cela a été suggéré publiquement à maintes reprises, les responsables d’OpenAI ont choisi de procéder ainsi », explique-t-il. Anthropic a depuis mis en ligne les travaux sur le sujet générés avec ses modèles.

Enfin, du côté de la physique, les documents générés n’ont pas été rendus publics. L’entreprise affirme, par contre, que ce serait « une démonstration mathématiquement rigoureuse de l’existence de certaines théories quantiques des champs en interaction, comprenant des champs de jauge et des fermions en quatre dimensions, notamment la chromodynamique quantique (QCD) et une formulation unifiée du Modèle standard de la physique des particules ». Ici aussi, OpenAI a listé les chercheurs avec lesquels elle allait collaborer : David Gross (prix Nobel 2004), Michael Douglas, Arthur Jaffe, Igor Klebanov et Nikita Nekrasov.

Comme elle le souligne, ces annonces s’ajoutent à sa volonté, ainsi que celle d’Anthropic, de s’afficher comme les futurs financeurs de la recherche mondiale, alors que ces entreprises sont encore loin d’être seulement à l’équilibre.

• En route pour la bourse, Anthropic liste 800 milliards de dollars de dépenses

Les fils restent nocifs

Depuis l’été 2025, les grandes plateformes en ligne doivent protéger les enfants des contenus pornographiques, racistes, violents, misogynes, ou liés au suicide ou au harcèlement. Le bilan du régulateur britannique des communications sur l’Online Safety Act est édifiant.

Durant les neuf premiers mois qui ont suivi l’entrée en vigueur des obligations de protection des enfants en juillet 2025, l’Ofcom n’a constaté aucune évolution statistiquement significative de la proportion d’adolescents déclarant avoir rencontré des contenus nocifs. Cela ne signifie pas que l’Online Safety Act n’a eu aucun effet – le rapport n’évalue pas l’efficacité des mesures de protection. Mais sa mise en œuvre n’a occasionné aucune baisse statistiquement significative de l’exposition déclarée à ces contenus.

Les nouvelles protections ne font pas reculer l’exposition

C’est notamment le cas pour la pornographie, les contenus liés au suicide et à l’automutilation et aux troubles alimentaires. Le constat est « préoccupant » pour le régulateur, qui relève également qu’aucun nouvel élément ne montre d’évolution de la gravité des préjudices subis par les enfants exposés à ces contenus. Le rapport se base sur une enquête en ligne menée auprès d’enfants et d’ados âgés de 8 à 17 ans (de 11 à 17 ans pour les questions portant sur l’exposition), avant et après l’entrée en vigueur des dispositifs de l’Online Safety Act.

Les plateformes en ligne qui diffusent des contenus pornos doivent mettre en place des systèmes de vérification de l’âge. Les règles prévoient aussi des procédures de modération renforcées pour traiter les contenus dangereux signalés. Pour les mineurs, les réseaux sociaux sont tenus d’adapter leurs algorithmes de recommandation de contenus, afin de filtrer les plus nocifs.

Malgré tout, le principal canal d’exposition déclaré au porno et aux contenus encourageant le suicide et les troubles alimentaires, reste toujours et encore les fils personnalisés. Plus encore que les garçons, les filles déclarent être davantage exposées à ces deux dernières catégories ; elles se disent troublées ou bouleversées après avoir vu des contenus pornos.

L’Ofcom rapporte également que les garçons et les jeunes hommes qui consultent des contenus de motivation et de développement personnel peuvent rapidement être exposés à des publications extrêmes qui font la promotion de la misogynie et du racisme. Les règles de modération sont souvent contournées très simplement, en passant par un langage codé ou des mots-clés volontairement mal orthographiés.

• Frères Tate arrêtés : dans la fabrique très publique d’influenceurs masculinistes mondiaux

Beaucoup de travail à accomplir

Le régulateur n’est pas dupe : il reste encore beaucoup de travail à accomplir. Le secteur du numérique en ligne a « échappé à toute réglementation et n’a eu de comptes à rendre à personne pendant plus de vingt ans », souligne un porte-parole auprès du Guardian.

Il souligne tout de même que « des progrès importants sont en cours, notamment avec la généralisation des contrôles de l’âge, le renforcement des protections contre les prédateurs sexuels et des mesures plus strictes contre l’exploitation et les abus sexuels sur mineurs. »

Mais c’est insuffisant. « Nous avons montré que les entreprises technologiques qui ne respectent pas leurs obligations s’exposent à des sanctions », ajoute le représentant. L’Ofcom a lancé une enquête sur TikTok en juillet, en particulier sur la vérification de l’âge. Et le gouvernement anglais veut instituer une interdiction des réseaux sociaux aux moins de 16 ans à compter du printemps prochain.

L’autorité recommande par ailleurs d’inscrire deux nouvelles catégories parmi les contenus nocifs que la loi entend réguler : la stigmatisation de l’apparence physique et la promotion de la dépression, du désespoir et du sentiment d’impasse. Des contenus déjà couverts par plusieurs obligations, mais leur inscription aurait pour intérêt de systématiser leur prise en compte par les plateformes.

• Londres multiplie les interdictions pour les moins de 16 ans : réseaux sociaux, jeux vidéo…

Beaucoup de tokens pour rien

Brûler des tokens ne fait pas nécessairement un bon ingénieur. Amazon reconnait les limites de ses indicateurs d’utilisation de l’IA, et demande à ses équipes de privilégier les résultats concrets. Même si les indicateurs restent en place.

Amazon ne veut plus faire partie du club des entreprises où l’on brûle du token pour rien, sinon pour se faire bien voir de la hiérarchie. Au mois de mai, une indiscrétion donnait des détails sur un nouvel outil interne pour mesurer l’utilisation de l’IA. Un usage surveillé de près par des managers poussant sans relâche leurs équipes à intégrer cette technologie dans leur travail de tous les jours. À tel point que certains abusent des tokens.

• Tokenmaxxing : quand les salariés d’Amazon brûlent des tokens pour se faire bien voir

Des indicateurs qui poussent à la consommation

Ce phénomène du tokenmaxxing ne se limite pas à Amazon. De nombreuses autres entreprises, désireuses elles aussi d’embarquer dans le grand train du progrès et des (soit-disant) gains de productivité démentiels forcent leurs salariés à exploiter l’IA, parfois à tort et à travers. À cela s’ajoutent des factures d’usage d’API qui flambent.

Amazon a rapidement appuyé sur la pédale de frein et mis un terme au classement IA interne. Pour enfoncer le clou, un mémo envoyé en septembre par Terk Terkowitz, vice-président de l’ingénierie, et rendu public ce mardi 27 octobre, détaille les nouvelles pratiques en matière de mesure des performances des équipes.

Le message destiné aux ingénieurs logiciels du groupe détaille les mesures utilisées en interne, parmi lesquelles la consommation de tokens pour déterminer le volume d’utilisation des modèles –, ce qui peut en amener certains à en abuser. Amazon mesure aussi l’adoption des outils IA, le nombre de modification dans le code et le nombre de revues de code, ces deux derniers indicateurs servant à suivre le volume de travail réalisé.

« Nous savons tous à quel point ces indicateurs sont imparfaits, principalement parce qu’ils sont déconnectés de ce qui compte vraiment », écrit le dirigeant. « S’ils deviennent des objectifs plutôt que des instruments de mesure, ils peuvent avoir des effets négatifs : une hausse des coûts (…) et une complexité accrue », poursuit-il. Terk Terkowitz espère tout de même que le « sens aigu des responsabilités » des développeurs et leur volonté « d’obtenir des résultats » aidera l’entreprise à éviter les effets négatifs.

Quand l’IA n’aide pas, ce n’est pas forcément un échec

Il faut toujours tenir compte de ces critère donc, mais « avec prudence et discernement ». Le vice-président donne une sorte de feuille de route en recommandant de regarder les deux extrémités : les 10 % des équipes qui adoptent le moins l’IA pour comprendre les freins, et les 10 % qui l’utilisent le plus afin de vérifier que cet usage s’accompagne d’une augmentation des livraisons de nouveautés.

« Si les outils d’IA actuels n’apportent rien à votre travail, c’est un constat, pas un échec. Documentez les raisons, partagez-les avec vos pairs, parlez-en à votre responsable et cherchez des solutions. Un ingénieur capable d’expliquer dans quels cas l’IA ne l’aide pas encore dans son travail fait preuve du discernement que nous attendons. »

Mais le critère final doit être l’impact à long terme sur les clients, l’activité et les équipes. Une métrique basée sur la qualité donc, bien plus que sur la quantité de tokens brûlés.

En juin 2025, le directeur général d’Amazon, Andy Jassy, partageait sa « pensée » autour de l’IA générative. Pour lui, les agents IA vont accélérer et amplifier le développement d’innovations au sein de l’entreprise. Moins réjouissant, il prévoyait aussi une baisse des effectifs grâce aux gains d’efficacité de l’IA, tout en indiquant que certains métiers créeront plus d’emplois.

À l’approche des élections américaines de mi-mandat, OpenAI resserre les conditions d’utilisation de ChatGPT, tout particulièrement de la fonction de génération d’images.

Alors que les élections de mi-mandat se dérouleront le 3 novembre aux États-Unis, ChatGPT n’est plus en mesure de générer des images photoréalistes dépeignant « une ingérence électorale ou susceptibles de décourager le vote ». Le bot peut toujours proposer des images, mais elles apparaissent dès lors sous la forme d’illustrations stylisées, « cartoon », pas réalistes.

L’intimidation électorale passe au dessin

OpenAI veut « réduire le risque qu’une scène imaginaire soit prise pour une preuve documentaire ». Cnet a testé en demandant à ChatGPT de créer une image photoréaliste d’agents de l’ICE (la police de l’immigration) devant un bureau de vote. La crainte est qu’une telle présence décourage les personnes redoutant un contrôle migratoire des urnes, même quand elles ont le droit de voter.

Comme on a pu le tester en dehors des États-Unis, ChatGPT génère bien une telle image mais stylisée. Le bot ne parvient pas à produire une image réaliste. Plus près de nous, c’est le cas aussi pour le prompt « Crée une image photoréaliste d’un cordon de CRS bloquant l’entrée d’un bureau de vote en France ». Même en insistant pour avoir un rendu réaliste, l’image reste stylisée façon dessin de presse ou BD.

La requête « Crée une image photoréaliste d’une urne électorale bourrée de bulletins par un assesseur dans une mairie française » génère d’abord un dessin, mais en réclamant un rendu photoréaliste, ChatGPT s’exécute. Savoir exactement ce qui est autorisé de ce qui ne l’est pas n’est donc pas évident. Ce d’autant que l’approche d’OpenAI « préserve la possibilité de créer des illustrations et des commentaires sur la société ».

Les fausses images alimentent la désinformation

L’entreprise rappelle aussi que ses règles interdisant l’ingérence électorale et la démobilisation des électeurs s’appliquent toujours, « même lorsque ces usages abusifs font appel à des images de type dessin animé. » Les manifestations de ces dernières semaines en France donnent un relief particulier à ces mesures de protection relatives aux élections datées du 27 mai, mises à jour le 20 octobre.

L’image d’un couple d’octogénaires soit-disant « dépouillés » par des casseurs au soir de la manifestation du 17 octobre a été largement partagée sur les réseaux d’extrême-droite. Mais voilà, elle était complètement bidonnée, générée par IA.

• « L’image la plus horrible de ce 17 octobre » émanait d’un site d’info généré par IA

OpenAI ajoute un partenariat avec Associated Press pour le décompte en direct des bulletins de vote pour les élections au Brésil et aux États-Unis. Les fabricants de systèmes de vote électronique qui travaillent avec les autorités américaines pour les élections peuvent participer au programme Daybreak de protection des défenseurs.

L’entreprise interdit également la génération de messages de campagne, y compris des images et des vidéos, en faveur ou à l’encontre d’un candidat, d’un parti politique ou d’une proposition soumise au vote. Pourtant, à l’occasion de la campagne des mid-terms, on a vu fleurir d’innombrables spots générés par IA, notamment du côté des républicains pour dénigrer leurs opposants.

• Présidentielle 2027 : des ingérences aux conséquences difficilement quantifiables
• Présidentielle 2027 : entre « censure » et redirections sauvages, les sites sous pression