No kings, ça s'adresse aussi à Mark ?

Alors que les élections de mi-mandat arrivent, Mark Zuckerberg est sommé par des élus démocrates de s’expliquer sur le blocage temporaire d’un compte « No Kings » qui co-organise des manifestations aux États-Unis contre l’autoritarisme de Donald Trump.

Le compte Instagram No Kings Coalition est maintenant accessible et l’équipe qui le gère a de nouveau la main dessus. Mais le 17 octobre, ce compte a été suspendu pendant un peu plus d’une heure, sans pouvoir être administré pendant plus de trois heures. Meta s’est excusée et a affirmé que c’était un problème technique, mais la question est reprise par des élus démocrates alors que la campagne électorale des mid-terms arrive à sa fin.

Cette campagne politique reprend le mot d’ordre « No Kings » qu’on peut retrouver régulièrement dans les manifestations contre Donald Trump aux États-Unis depuis octobre 2025. Le dirigeant avait critiqué, il y a un an, ce mouvement avec une vidéo scatologique générée par IA.

Le compte No Kings Coalition a plus de 27 000 abonnés et, au-delà de ces manifestations, pousse les états-uniens à aller voter (notamment en avance et par correspondance, puisque le système électoral de nombreux États le permet) avec des slogans comme « vote early ».

Meta explique le problème par une utilisation intensive de Claude

Les animateurs du compte semblent utiliser des outils d’automatisation et c’est ce genre de pratiques qui auraient, selon Meta, déclenché le blocage du compte. « Lorsque des comptes publient, partagent ou commentent à une fréquence très élevée, cela peut déclencher des systèmes automatisés. C’est ce qui s’est produit avec le compte Instagram « No Kings » à l’approche de la journée d’action d’aujourd’hui » affirmait Andy Stone le 18 octobre , porte-parole de Meta. « Malheureusement, cette intervention automatisée était manifestement une erreur. Tout fonctionne désormais comme il se doit et nous vous présentons nos sincères excuses », a-t-il ajouté.

L’équipe en charge du compte a posé huit questions à l’entreprise dans une lettre ouverte [PDF] pour en savoir plus. Comme par exemple : « Quelles actions spécifiques menées par le compte No Kings Coalition auraient enfreint les règles de Meta, et quelles règles étaient concernées ? ». L’entreprise a expliqué le blocage par « le fait que [ses] systèmes de sécurité réseau ont détecté une augmentation spectaculaire de l’utilisation d’un outil Claude pour analyser les profils, les publications et les hashtags ». « Par rapport à ce que [ses] systèmes avaient observé auparavant, le rythme de cette activité a été multiplié par quatre environ lors de pics intenses le 17 octobre », a-t-elle ajouté.

Une réponse qui ne satisfait pas les activistes

Cette réponse n’a pas suffi à No King Coalition qui demande [PDF] à Meta de répondre aux « questions plus générales de transparence, de responsabilité et d’ingérence potentielle dans les communications publiques au cours d’une élection encore en cours ».

L’équipe est donc maintenant soutenue par deux membres démocrates de la Chambre des représentants des États-Unis, Robert Garcia et Jamie Raskin. Dans une lettre ouverte [PDF] à Mark Zuckerberg, les élus demandent eux aussi plus de détails car « Meta a la responsabilité de ne pas porter atteinte à l’intégrité de nos élections ni d’enfreindre le droit du public à mener des activités politiques protégées par la Constitution », écrivent-ils. Ils demandent à l’entreprise de leur présenter, « au plus tard le 9 novembre 2026, un exposé sur ses mesures en matière de sécurité électorale et sur ces incidents ».

Dans leur lettre, les deux élus font aussi référence aux élections au Brésil où Meta a été sommée par la justice de prouver qu’elle ne faisait pas d’ingérence.

• Ce que la réélection de Lula nous dit du terrain médiatique numérique

Ciblage beaucoup plus que publicitaire

L’entreprise de marketing israélienne Discover-Tech a participé à une attaque zéro-clic installant un logiciel espion via des publicités. Elle vise particulièrement les utilisateurs du réseau Starlink, selon des sources de l’agence de presse Reuters.

L’agence de marketing israélienne Discover-Tech, impliquée dans la diffusion d’un logiciel espion via une attaque zéro-clic, est aussi une des entreprises qui enchérissent le plus pour obtenir des publicités sur le réseau Starlink. Ainsi, elle serait en capacité de localiser assez facilement des utilisateurs de ce réseau qui permet à ses utilisateurs de passer à travers les surveillances gouvernementales.

Mi-octobre, on apprenait que Discover-Tech avait mis au point une attaque zéro-clic installant un logiciel espion via la publicité ciblée. Les chercheurs de Citizen Lab et de Cinfiant avaient constaté que des appareils des équipes du média Al Jazeera avaient été choisis pour être infectés avec un logiciel espion attribué à la société Candiru.

En parallèle, des chercheurs de l’entreprise de sécurité Trend Micro publiaient un rapport sur les activités d’un groupe nommé SHADOW-EARTH-79 qui utilise aussi la publicité ciblée pour « suivre et établir le profil de personnes se trouvant dans des zones de conflit, des États soumis à des sanctions et d’autres lieux sensibles à travers le monde ».

Des sources anonymes affirment que Discover-Tech et SHADOW-EARTH-79 sont la même entité

Selon plusieurs sources de Reuters, Discover-Tech est l’entité réelle qui se trouve derrière le groupe SHADOW-EARTH-79. Les chercheurs de l’unité TrendAI de Trend Micro ne citent pas le nom de l’entreprise israélienne : cette unité s’est donné des règles très prudentes concernant l’attribution des menaces cyber qu’elle découvre. Mais six sources ont confirmé à l’agence de presse que Shadow-Earth-79 est le nom de code utilisé par TrendAI pour désigner Discover-Tech.

Selon TrendAI, ce groupe est sur le trafic des adresses IP de Starlink, ce groupe est la deuxième entreprise concernant le nombre d’enchères gagnées pour placer des publicités (12,9%) derrière l’entreprise américaine de marketing ciblé Steelhouse  qui a obtenu 38,4 % des enchères sur une période de 90 jours étudiée.

TrendAI a pu observer que ce groupe avait gagné des enchères publicitaires dans 150 pays concernant le trafic des adresses IP de Starlink. « Certains de ces pays (le Cameroun, la Syrie, le Soudan, la Birmanie et la Libye) sont des pays où Starlink est officiellement interdit ou soumis à des restrictions réglementaires », remarquent-ils dans leur rapport. Mais on peut y voir qu’y figurent aussi la France, l’Italie ou l’Espagne où le groupe est premier enchérisseur concernant les pubs du trafic de Starlink.

Infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale

Concernant les enchères publicitaires sur tout le trafic (et non plus seulement Starlink), selon TrendAI, ce groupe est « le premier enchérisseur dans 49 pays où les données publicitaires font l’objet d’enchères ». « Dans plusieurs cas, il détient une part incroyablement dominante de l’ensemble des enchères, ce qui ne correspond pas à un achat publicitaire concurrentiel normal », ajoutaient les chercheurs en cybersécurité. Ils pointaient notamment son « quasi monopole » en Hongrie, en Israël, en Égypte, en Azerbaïdjan et au Venezuela où le groupe fait entre 72 % et 91 % des offres.

Le rapport de TendAI concluait que « les éléments de preuve recueillis indiquent, avec un niveau de confiance modéré à élevé, que la présence publicitaire de SHADOW-EARTH-79 sert d’infrastructure de ciblage et de suivi plutôt que d’opération publicitaire commerciale ».

Contactées par Reuters, Discover-Tech mais aussi SpaceX n’ont pas répondu aux demandes de commentaires sur le sujet de nos confrères.

En mai dernier, Intelligence Online expliquait qu’une autre entreprise israélienne, Targeteam qui a aussi un bureau à Chypre, allait dévoiler un nouvel outil dédié à la désanonymisation des utilisateurs du système Starlink. Cette entreprise est la « nouvelle aventure business d’un vétéran du secteur cyber israélien et légende de l’export, Ron Zilka », selon nos confrères. De son côté, le média israélien Haaretz parlait de deux entreprises du même pays capables de localiser les terminaux satellitaires de Starlink alors que ce système permet, par exemple, à l’armée ukrainienne de se défendre face à l’envahisseur russe. Mais récemment, le pays de Volodymyr Zelensky a accusé Starlink d’avoir restreint l’accès à Internet de ses forces militaires.

Démerdez-nous avec ça

L’entreprise de Sam Altman continue de promouvoir la puissance de ses outils en les employant sur divers problèmes de recherche scientifique. Mais n’ayant pas les compétences en interne, elle cherche toujours à savoir comment rendre publique cette production sans trop fâcher la communauté scientifique.

Depuis le printemps, OpenAI comme Anthropic bandent les muscles en annonçant régulièrement des « découvertes » scientifiques. Ainsi, fin septembre, l’entreprise de Dario Amodei affirmait, elle, avoir découvert un nouveau système enzymatique, « dont la structure rappelle celle du système CRISPR » alors que tout le travail de recherche en biologie reste à faire pour démontrer ce qui n’est pour l’instant qu’une hypothèse.

• Non, Anthropic n’a pas découvert un système biologique comparable à CRISPR

Après avoir inondé la recherche avec 722 « prépublications » de mathématiques générées par IA, OpenAI vient encore d’annoncer sans prendre de pincettes « trois nouvelles découvertes en mathématiques, en informatique et en physique, portant respectivement sur l’analyse harmonique, la théorie de la complexité et la théorie quantique des champs ». Mais, encore une fois, les résultats n’ont pas été relus par des chercheurs.

Comme ces entreprises d’IA générative en ont pris l’habitude, c’est dans un billet de blog qu’OpenAI a fait l’annonce de ces « découvertes » scientifiques. Mais l’entreprise patauge encore dans sa façon de gérer le partage de ses résultats aux communautés de chercheuses et chercheurs qui travaillent parfois depuis des années sur les sujets auxquels elle s’attaque. Car, n’ayant pas d’employés capables de s’attaquer à tous ces sujets, elle se retrouve avec des problèmes qu’elle ne peut maitriser en interne. Ainsi, comme différents chercheurs nous l’ont souligné, ces résultats restent « la première étape d’une découverte scientifique, pas la dernière ».

Consultations de « guides » pour savoir quoi faire de ces « résultats »

La mise en ligne des 722 « prépublications » à différents stades de vérification ne semble pas être la solution miracle pour un partage serein avec les chercheurs. OpenAI tente donc encore une autre méthode. Elle indique faire appel à des experts externes qu’elle qualifie de « guides » (shepherds, en anglais), mais dont elle ne donne pas les noms.

Concernant le problème de maths dont elle affirme que ses modèles ont produit une preuve de sa résolution, OpenAI n’a contacté un expert que pour « discuter de la mise en place d’une collaboration autour de ce résultat », pas pour être conseillée sur la méthode de publication. Cet expert lui aurait recommandé de rendre publique sa production, comme avec les 722 « prépublications ».

OpenAI affirme que ses modèles ont « établi une preuve de la conjecture de lissage local dans toutes les dimensions et ont ainsi également résolu la conjecture de Kakeya et la conjecture de restriction de Stein dans toutes les dimensions ». En juillet dernier, la mathématicienne Hong Wang venait de se voir attribuer la médaille Fields notamment pour cette conjecture de Kakeya en dimension trois, comme l’expliquait le Journal du CNRS.

En informatique théorique et physique, des collaborations initiées avec certains chercheurs

En informatique, les travaux générés par OpenAI concernent une hypothèse de difficulté calculatoire : l’Exponential Time Hypothesis. L’entreprise soutient que cette hypothèse est « fausse ». Cette fois, un groupe d’experts (Russell Impagliazzo de l’UC San Diego, Ramamohan Paturi de l’UC San Diego et Ryan Williams du MIT) a accepté d’accompagner OpenAI dans la vérification de ces travaux, mis en ligne sur GitHub.

Ces trois chercheurs ont aussi publié une lettre adressée à leur communauté : « Notre implication ne doit pas être interprétée comme une validation de cette affirmation. Un résultat d’une telle importance nécessite un examen minutieux et indépendant, ainsi qu’une compréhension que d’autres puissent reproduire, remettre en question et développer ».

Sur la publication de ces travaux, OpenAI est cependant accusée – une nouvelle fois – de mauvaises pratiques scientifiques en s’appuyant sur des travaux d’autres chercheurs sans les citer et en les prenant de vitesse sans réellement maitriser ce qu’elle fait.

Le mathématicien Levent Alpöge, qui travaille pour Anthropic et qui avait déjà pointé ce genre de problèmes concernant OpenAI et les maths, a expliqué sur X que son confrère Ethan Sussman de l’université Northwestern avait beaucoup avancé sur le sujet et partagé ses résultats avec la communauté. « Je n’ai cessé de lui répéter de ne pas se montrer trop déférent et modeste, car on lui volerait la vedette à la première occasion. Au lieu de le contacter pour collaborer avec lui, comme cela a été suggéré publiquement à maintes reprises, les responsables d’OpenAI ont choisi de procéder ainsi », explique-t-il. Anthropic a depuis mis en ligne les travaux sur le sujet générés avec ses modèles.

Enfin, du côté de la physique, les documents générés n’ont pas été rendus publics. L’entreprise affirme, par contre, que ce serait « une démonstration mathématiquement rigoureuse de l’existence de certaines théories quantiques des champs en interaction, comprenant des champs de jauge et des fermions en quatre dimensions, notamment la chromodynamique quantique (QCD) et une formulation unifiée du Modèle standard de la physique des particules ». Ici aussi, OpenAI a listé les chercheurs avec lesquels elle allait collaborer : David Gross (prix Nobel 2004), Michael Douglas, Arthur Jaffe, Igor Klebanov et Nikita Nekrasov.

Comme elle le souligne, ces annonces s’ajoutent à sa volonté, ainsi que celle d’Anthropic, de s’afficher comme les futurs financeurs de la recherche mondiale, alors que ces entreprises sont encore loin d’être seulement à l’équilibre.

• En route pour la bourse, Anthropic liste 800 milliards de dollars de dépenses

France Études ?

Les lycéens se mobilisent depuis des semaines pour demander l’amélioration de leurs conditions d’étude et notamment l’abrogation de la plateforme Parcoursup symbole d’un système de sélection à l’entrée de l’enseignement supérieur. Le gouvernement vient d’en annoncer la modification pour 2027, son remplacement pour 2028 et l’ajout d’un outil d’orientation enrichi par l’IA. Reste à savoir ce qui remplacera la plateforme et le système de sélection qu’elle accompagne.

Depuis plusieurs semaines les lycéens, rejoints par les étudiants et d’autres mouvements, dénoncent un système scolaire à bout. Après l’envoi d’une répression policière violente et la volonté de Matignon de couper les réseaux sociaux « en cas de réitération de violences urbaines », le gouvernement a apporté sa première réponse politique. Celle-ci, sans stopper les appels à la mobilisation, inclut notamment la modification de la fameuse plateforme Parcoursup de préinscription en première année de l’enseignement supérieur. Cette plateforme a été mise en place pendant le premier quinquennat d’Emmanuel Macron, en 2018, avec la loi ORE (relative à l’orientation et à la réussite des étudiants) qui a généralisé la sélection dans l’enseignement supérieur français.

• Comment fonctionnent les algorithmes de Parcoursup
• Mobilisations : Matignon voulait couper les réseaux, le Gouvernement veut élargir Pharos

Le mouvement lycéen est parti de Mayotte cet été et s’est étendu à l’Hexagone via les lycées de Créteil et de la banlieue parisienne. Il pointe les emplois du temps surchargés, le manque de moyens et de personnel, des classes surchargées, un manque très concret de tables dans certaines salles, mais aussi le « stress engendré par Parcoursup ».

« Le souci du dématérialisé »

Seydou Ba, élève de terminale au lycée Charles de Gaulle, très en vue dans la mobilisation et militant LFI, pointait sur le plateau de France Info le 9 octobre le problème qu’il voit dans cette plateforme : « C’est le souci du dématérialisé : on se retrouve avec une plateforme face à nous, pas un être humain. Vous vous retrouvez face à Parcoursup et vous ne savez pas quoi faire, pas quoi dire, qui aller voir. »

À la demande de l’abrogation de la plateforme, le gouvernement répond en deux étapes : un aménagement de Parcoursup pour la session 2027 qui va commencer d’ici peu et le « remplacement » de la plateforme prévu pour 2028.

Un remplacement prévu pour 2028, des ajustements avant

N'aurait-on pas besoin d'un RGPD au carré ?

Avec la mise en place de « mémoires » pour que leurs systèmes donnent des réponses plus proches de la réalité, les entreprises d’IA génératives ont mis en place ce que des chercheuses et chercheurs appellent des « autoportraits algorithmiques » des utilisatrices et utilisateurs. Ceux-ci incorporent énormément d’informations (notamment psychologiques) considérées comme des données personnelles par le RGPD.

Les chatbots IA sont entrés dans notre quotidien alors qu’ils ne s’appuyaient que sur des modèles de langage, mais OpenAI et ses concurrents y ont ajouté depuis une mémoire qui permet des réponses plus adaptées et hyperpersonnalisées. Des chercheuses et chercheurs ont montré que cette mémoire posait de nouvelles questions concernant les données personnelles. Cela touche notamment des informations d’ordre psychologique.

C’est une équipe notamment issue du Max Planck Institute for Software Systems qui a travaillé sur cette question. Le chercheur Abhisek Dash et ses collègues ont présenté leurs travaux titrés « The Algorithmic Self-Portrait: Deconstructing Memory in ChatGPT » lors d’une conférence scientifique de l’Association for Computing Machinery à Dubaï en avril dernier.

La mémoire est beaucoup plus intrusive que les données récupérées par les autres plateformes

Si, depuis, OpenAI a modifié le fonctionnement de la mémoire de son chatbot, les questions restent pertinentes et les résultats montrent que les entreprises d’IA génératives n’ont pas créé leurs systèmes en y faisant particulièrement attention.

« La mémoire [des chatbots IA] donne naissance à ce que nous appelons l’ « autoportrait algorithmique » – une nouvelle forme de personnalisation issue des informations que les utilisateurs révèlent d’eux-mêmes au cours de conversations privées », expliquent ces chercheurs.

« Si la mémoire permet des échanges plus cohérents, les processus sous-jacents à sa création restent opaques, ce qui soulève des questions cruciales concernant la sensibilité des données, l’autonomie des utilisateurs et la fidélité du portrait qui en résulte », préviennent-ils.

Pour mieux comprendre ces mécanismes, ils ont analysé, en février 2026, 1 058 conversations avec ChatGPT, totalisant 22 971 échanges, dont 2 050 requêtes ont déclenché des mises à jour de la mémoire.

Ils notent déjà que la plupart de ces mises à jour ne sont pas enclenchées par l’utilisateur. Ainsi, « seuls 4 % des souvenirs de notre ensemble de données analysé sont initiés par les participants, tandis que les 96 % restants sont déclenchés unilatéralement par ChatGPT ». « Une telle asymétrie flagrante dans les schémas de mise à jour des souvenirs témoigne d’une capacité d’action supérieure du système d’IA dans la construction de la mémoire conversationnelle, par opposition à un contrôle exercé par l’utilisateur », commentent-ils.

En analysant ces « souvenirs » gardés en mémoire par ChatGPT, les chercheurs ont remarqué que 28 % d’entre eux contiennent des données personnelles comme définies par le RGPD et 7 % appartenant à des catégories particulières de données à caractère personnel. Pour 91 % des utilisateurs, cette mémoire avait recueilli des données personnelles et pour plus de la moitié (54 %) des données sensibles.

Concernant les données psychologiques des utilisateurs, les chercheurs font remarquer une différence entre les plateformes numériques traditionnelles et les chatbots. Ainsi, les premières collectent des données démographiques, le comportement, l’historique des likes et des partages, les commentaires ou encore les interactions pour en déduire les centres d’intérêt des utilisateurs.

« À l’inverse, les systèmes d’IA conversationnelle tels que ChatGPT construisent leur mémoire directement à partir des récits que les utilisateurs leur confient eux-mêmes », remarquent-ils, « ces souvenirs vont souvent au-delà des éléments factuels, reflétant certains aspects de l’univers intérieur de l’utilisateur ».

En mémoire sont aussi intégrés la façon de penser ainsi que les sentiments

Et de fait, ils ajoutent que les « souvenirs » du chatbot concernant ses utilisateurs montrent qu’elle peut « non seulement enregistrer l’identité de l’utilisateur, mais aussi sa façon de penser et ses sentiments ».

Pour analyser ces nouvelles données collectées par les plateformes comme ChatGPT, cette équipe de chercheurs s’est appuyée sur le concept de théorie de l’esprit (Theory of Mind, en anglais, ToM), utilisé en psychologie. Ce concept correspond à la capacité à inférer des états mentaux à autrui, comme des croyances, des désirs, ou des intentions, comme l’expliquent [PDF] les chercheuses et chercheurs en neurosciences et neuropsychologie.

En classifiant avec GPT-4o les « souvenirs » enregistrés par ChatGPT, ils se sont ainsi aperçus, par exemple, que 73 % d’entre eux exprimaient un désir et 16 % une intention. Dans les données qu’ils ont analysées, les « souvenirs » retenus par ChatGPT de 97 % des utilisateurs comprenaient des informations sur leurs désirs, 68 % sur leurs intentions et 52 % sur leurs connaissances.

En utilisant leurs données, les plateformes traditionnelles peuvent répondre à la question « de quel genre de personne s’agit-il ? ». Mais ChatGPT et les services du même genre, avec leur mémoire, pourraient se rapprocher encore plus de la réponse à la question « qui est cette personne ? ».

Abhisek Dash et ses collègues soulignent que cela « soulève de graves préoccupations en matière de sécurité et de vie privée ». Ils expliquent travailler sur un outil appelé « Attribution Shield » qui alerterait les utilisateurs de la présence éventuelle de souvenirs sensibles et leur proposerait des prompts alternatifs pour protéger l’anonymat des personnes concernées tout en préservant leur utilité.

Depuis la publication de leur recherche, OpenAI a modifié la façon dont fonctionne la mémoire de ChatGPT. Depuis juin, celle-ci synthétise les informations collectées petit à petit et les met à jour de façon continue plutôt que de compiler les « souvenirs » de manière individuelle. Et les utilisateurs peuvent accéder à un résumé, mais OpenAI souligne dans sa FAQ sur l’outil que « cela n’inclut pas nécessairement tous les détails ou toutes les sources » auxquels son outil de mémoire peut avoir accès. Il n’en reste pas moins que les informations qui peuvent y être stockées restent les mêmes que celles analysées par les chercheurs dans cette étude.

L'inclusion ? Pourquoi faire ?

Dans son projet de loi de finances, le gouvernement de Sébastien Lecornu a prévu de baisser drastiquement le budget que l’État allouait à l’inclusion numérique. Les associations qui accompagnaient notamment les personnes âgées dans la prise en main du numérique sont en danger.

Le projet de loi de finances 2027 présenté par le premier ministre Sébastien Lecornu prévoit de réduire à 3 millions d’euros le budget alloué à l’inclusion numérique. Il était déjà passé d’environ 40 millions d’euros en 2025 à 14 millions d’euros en 2026. Cette baisse signifierait la suppression de quasiment tous les postes de conseillers numériques des diverses associations installées sur le territoire français.

3 000 postes de conseillers menacés

Dans son projet de loi, le gouvernement projette de baisser fortement le budget du Programme 343 intitulé « Plan France Très haut débit ». Celui-ci a été notamment mis en place pour assurer la transition du cuivre vers la fibre optique, mais aussi pour « rapprocher les personnes les plus fragiles vers les nouveaux usages du numérique en portant une politique d’inclusion numérique ». Dans l’annexe de son projet de loi concernant ce programme [PDF], le gouvernement prévoit que le budget consacré à l’inclusion numérique soit fixé à 3 millions d’euros pour 2027.

Cette baisse est particulièrement préoccupante car ces financements permettaient à des associations sur tout le territoire de mettre à disposition des citoyens des conseillers numériques via un dispositif national créé en 2021. Ils peuvent accompagner, par exemple, des personnes âgées pour la prise en main de leurs appareils, mais aussi pour résoudre un besoin administratif immédiat. Rappelons que l’accès aux services publics numériques reste un casse-tête pour une grande partie des Français. Selon les associations comme Avicca ou Les Interconnectés rassemblées dans un groupement appelé La Belle alliance, cela représenterait près de 3 000 postes de conseillers menacés.

• Services publics : un Français sur deux fait ses démarches en ligne seul

L’annexe du projet de loi de finances en question explique sobrement que, « dans un contexte de maîtrise des finances publiques, il a été décidé dès 2025 de réduire progressivement les financements de l’État dans ce dispositif, les conseillers France Service assurant toujours l’accompagnement aux démarches administratives ».

Des propositions «  balayées d’un revers de la main par le ministère de l’Économie »

« Nous alertons les autorités sur ce problème depuis des mois, mais elles ne veulent rien savoir, se désole Luc Derriano, chargé de mission à l’Avicca, une association d’élus engagés dans l’aménagement numérique de leur territoire auprès de Que Choisir. « Toutes les solutions concrètes que nous avons proposées pour maintenir ce financement ont été balayées d’un revers de la main par le ministère de l’Économie. »

La Belle Alliance demandait en septembre dans un communiqué une prise en charge par l’État de 115 millions d’euros par an, l’articulation de l’accompagnement humain que les associations apportent avec les maisons France Services et l’ouverture de concertation d’urgence.

« Les points évoqués avec la ministre rejoignent des discussions déjà tenues depuis des mois, sur lesquelles les associations ont exprimé leur accord, mais il manque la mise en place et les moyens de financement », affirmait Céline Colucci, déléguée générale des Interconnectés, à Acteurs Publics après un rendez-vous avec la ministre du Numérique Anne Le Hénanff mi-septembre.

Côté députés, certains essaient de trouver des moyens pour financer ce dispositif. Ainsi le député socialiste Jacques Oberti a déposé un amendement proposant de relever le tarif de l’imposition forfaitaire sur les entreprises de réseau afin de financer l’inclusion numérique. Mais il a été rejeté par la Commission des finances.

Jeu, set et match

La fondation suisse qui fournit des services de DNS jette l’éponge en France après avoir été contrainte de bloquer des noms de domaine de sites de streaming sportifs dont BeIN Sports France avait les droits exclusifs.

Les internautes français ne pourront bientôt plus utiliser les serveurs DNS du fournisseur Quad9. En effet, après une décision de justice, l’entreprise suisse a annoncé ne pas pouvoir assurer son service correctement auprès de ses utilisateurs dans le monde tout en s’y conformant à long terme.

• [Dossier] Internet, mode d’emploi : de l’URL à l’IP avec le DNS (partie 2)
• [Tuto] Installer facilement son propre résolveur DNS sur Raspberry Pi, VM Freebox, VPS

Ce n’est pas la première fois qu’un fournisseur de DNS prend une telle décision. En effet, en 2024, OpenDNS s’était résolu à arrêter de proposer ses services en France à cause d’une décision de justice similaire. À l’époque, l’entreprise américaine était en conflit avec Canal+.

Le litige : le blocage de sites de streaming du tournoi de tennis féminin de la WTA

Cette fois-ci, c’est BeIN Sports France qui incite la fondation suisse à suivre. Le 13 mai dernier [PDF], la chaîne de télévision sportive qatarie avait obtenu devant le Tribunal judiciaire de Paris l’ordre donné à Google et à Quad9 de bloquer, sur le territoire français, l’accès via leurs serveurs DNS respectifs à une liste de sites et services IPTV qui permettaient de regarder le tournoi de tennis féminin de la WTA. Cette décision prévoyait un blocage jusqu’à la fin du tournoi, c’est-à-dire jusqu’au 14 novembre prochain, et ce dans un délai de trois jours maximums suivant la signification de la décision.

Mais Quad9 ne s’y est pas plié et a fait appel. Problème, le jugement était revêtu d’une exécution provisoire. BeIN a relancé la procédure en septembre en faisant assigner la fondation suisse devant le même tribunal pour la forcer à appliquer la décision de justice prise en mai. Le jugement rendu ce 21 octobre (dont Quad9 diffuse la décision, PDF) a décidé d’une astreinte de 1 000 euros par jour de retard à compter du prononcé de la décision jusqu’à la fin du tournoi. BeIN Sports demandait « une astreinte de 10 000 euros par jour de retard et par nom de domaine ou sous-domaine demeurant accessible via les services de Quad9 », ce qui, selon la fondation, aurait donné un total de 580 000 € par jour.

Quad9 retire l’accès à ses services en France à partir du 24 novembre

Dans un billet de blog intitulé « Ce n’est qu’un au revoir, la France », Quad9 qualifie de « bonne nouvelle » le fait que le tribunal a « considérablement réduit » la pénalité financière. Elle annonce, cependant, qu’ « à compter du 24 novembre, Quad9 ne sera plus en mesure d’offrir son service gratuit de cyberprotection aux utilisateurs situés en France ». Pour la fondation suisse, la mise en conformité de la décision juridique française « est techniquement irréalisable, et son exécution contredit directement notre mandat d’intérêt public ».

Elle explique sa décision par son refus de mettre en place un dispositif qui altérait les réponses DNS : « Nous ne pouvons pas nous conformer à cette décision sur le long terme tout en restant fidèles à notre mission de protéger votre vie privée, de vous défendre contre les cybermenaces et de préserver l’intégrité d’Internet. Pour nous, la résolution DNS récursive est un service neutre et passif. Nous refusons catégoriquement d’altérer ou de vous mentir sur les réponses DNS que vous recevez contre vos attentes ».

Quad9 précise que son appel est toujours en cours et que « nous continuerons de défendre notre position devant les tribunaux dans cette affaire comme dans toutes celles que nos moyens permettront de mener ».

Alors que les élections de midterms approchent aux États-Unis (3 novembre), l’IA fait partie des sujets les plus importants dans la campagne électorale. L’installation des datacenters IA est notamment devenue un boulet électoral pour les républicains.

Jusque-là, Donald Trump faisait la sourde oreille et soutenait l’industrie de l’IA. Il a encore récemment enterré toute régulation de l’IA, misant sur la « responsabilité » des acteurs.

Le dirigeant états-unien a réagi ce mercredi 21 octobre à l’impopularité croissante de l’installation des datacenters IA. Il affirmé sur Truth Social : « J’ai imposé aux nouveaux centres de données, de grande taille, voire gigantesques dans certains cas, de produire leur propre électricité et de céder ou de vendre tout excédent à la communauté locale ou au réseau électrique, ce qui entraîne une hausse du prix de l’électricité. En fait, on pourrait assister à une baisse considérable. ».

Mais la réaction du leader du parti Républicain arrive bien tard. En effet, un nouveau sondage de l’Institut Ipsos pour le Washington Post et ABC News auprès de 2 545 Américains montre que 57 % d’entre eux pensent que l’IA est une mauvaise chose pour la société alors que 50 % pensent qu’elle est une bonne chose pour eux, personnellement.

Deux tiers des sondés estiment que le gouvernement fédéral des États-Unis ne régule pas assez l’IA alors qu’ils ne sont que 9 % à penser qu’il régule trop cette technologie.

Si l’industrie insiste régulièrement sur de supposés risques d’extinction des humains dus à l’intelligence artificielle, les sondés sont plus inquiets du piratage de la sécurité des systèmes informatiques, des capacités des utilisateurs à prendre leurs propres décisions et de la suppression des emplois et de la montée des inégalités économiques :

Quand on leur demande en quoi l’IA peut apporter de bonnes choses, les Américains interrogés citent d’abord à 34 % le fait qu’elle pourrait avoir de grandes chances de faciliter les tâches du quotidien plus facilement et accentuer la domination de leur pays dans le domaine. Ils ne sont que 20 % à penser qu’il y a de grandes chances qu’elle permette aux personnes d’être plus productives. De même, peu d’entre eux (13 %) pensent qu’il est fortement possible que l’IA permette la création de nombreux emplois :

L’ancienne ministre de la Transition écologique, Agnès Pannier-Runacher, a été la cible d’une attaque via un logiciel espion.

Politico a appris que l’actuelle députée Renaissance du Pas-de-Calais a déposé plainte fin septembre auprès de la DGSI après avoir reçu une alerte sur son iPhone.

Apple lui a en effet envoyé une notification le 13 août que nos confrères ont pu consulter. Celle-ci indiquait que l’appareil avait été ciblé par un « logiciel mercenaire ». La députée aurait déjà reçu des alertes similaires en mars et avril 2025 lorsqu’elle était encore ministre.

« À chaque fois, ce sont mes appareils personnels qui étaient visés », a-t-elle déclaré au Monde en précisant que la DGSI n’avait pas confirmé d’infection des appareils ciblés à l’époque.

Les trois alertes sont regroupées par le parquet de Paris dans une seule et même enquête même si le constructeur a précisé qu’elles correspondaient à des attaques distinctes. Selon Politico, les enquêteurs n’auraient pas encore identifié le logiciel espion qui aurait été utilisé mais ils écarteraient déjà la piste du logiciel Pegasus de l’entreprise israélienne NSO.

Le fait qu’un smartphone ait été ciblé n’implique pas obligatoirement que l’infection ait fonctionné. Agnès Pannier-Runacher a affirmé au Monde que les premières analyses seraient négatives.

• Pegasus : de nouveaux détails sur l’utilisation du logiciel par le Maroc contre la France

Mega Meta amende

L’entreprise de Mark Zuckerberg a été condamnée, suite à l’affaire Cambridge Analytica, à payer 25 milliards de dollars dans l’État américain du Nouveau-Mexique pour avoir menti à ses utilisateurs concernant la confidentialité de leurs données. C’est l’une des plus lourdes sanctions contre une entreprise du numérique jamais prononcées.

Ce n’est pas la sanction la plus lourde que le juge aurait pu prononcer, mais son ampleur reste historique : Meta a été condamnée à payer 25 milliards de dollars. Comme nous l’expliquions fin septembre, l’entreprise de Mark Zuckerberg pouvait craindre une addition encore plus salée, avec une sanction potentielle de 219 milliards de dollars.

Le verdict tombé le 25 septembre concernait les suites de l’affaire Cambridge Analytica. Ce cabinet britannique avait organisé, à partir de 2014, un microciblage politique en collectant des données sur 87 millions d’utilisateurs de Facebook, puis les avait exploitées pour différentes campagnes électorales, dont la première de Donald Trump en 2016 et celle du Brexit.

Comme d’autres États américains, le Nouveau-Mexique avait porté plainte contre Facebook (devenu ensuite Meta). Mais son procureur est le seul à ne pas avoir signé d’accord avec l’entreprise et à avoir poussé le procès jusqu’au bout. Au final, le jury a constaté que Facebook s’est rendu coupable de 43 899 725 infractions à la loi sur les pratiques déloyales en vigueur dans l’État et 26 des 29 déclarations de Meta pointées par l’accusation ont été désignées trompeuses par le jury. Notamment, l’entreprise a menti sur le contrôle par ses utilisateurs du partage de leurs informations, sur leur vente ou leur cession à des annonceurs ou encore sur l’achat et la vente de données utilisateurs par Meta. Mais il restait à un juge de décider quelles en seraient les conséquences financières pour Meta.

Des pratiques « au cœur même des pratiques commerciales fondamentales de l’entreprise »

« Les agissements répréhensibles de Facebook – qui se sont étalés sur plusieurs années et ont été systématiquement portés à la connaissance du public – touchent au cœur même des pratiques commerciales fondamentales de l’entreprise », a affirmé le juge Francis J. Mathew dans son ordonnance [PDF] suivant le verdict du jury. « Cela concerne la manière dont Facebook attire les utilisateurs sur sa plateforme et parvient à les y fidéliser. Cela concerne également la principale ressource que les utilisateurs apportent à Facebook — leurs données —, qui est précisément ce qui a permis à Facebook d’atteindre un tel niveau de rentabilité », a-t-il ajouté.

« L’ampleur du préjudice causé dans cette affaire est difficile à évaluer et touche au cœur même du modèle économique de Facebook », y écrit-il encore. Il souligne le « nombre extraordinaire de violations délibérées […], la durée et la répétition » qui « justifient l’application de la sanction la plus sévère ».

25 milliards et 15 % d’intérêt par an jusqu’au paiement intégral

Le juge a néanmoins ramené l’amende que devra payer Meta de 219 milliards à 25 milliards de dollars mais a ajouté que « les intérêts sur cette amende courront au taux de 15 % par an jusqu’à son paiement intégral ».

« C’est un jour historique pour le Nouveau-Mexique et pour les consommateurs de tout le pays », a déclaré le procureur général Raúl Torrez. « Depuis trop longtemps, de puissantes entreprises technologiques agissent comme si leur taille et leur influence les plaçaient hors de portée de la loi. Un jury du Nouveau-Mexique a constaté près de 44 millions d’infractions à notre loi sur la protection des consommateurs, et cette décision de sanction démontre que ces infractions entraînent des conséquences réelles. Nous nous sommes attaqués à l’une des plus grandes entreprises au monde parce que les habitants du Nouveau-Mexique méritent l’honnêteté, la responsabilité et la protection de leurs données personnelles. Le résultat d’aujourd’hui montre clairement qu’aucune entreprise n’est trop puissante pour être tenue de rendre des comptes. »

« Cette décision, ainsi que l’approche adoptée par le procureur général dans le cadre de cette application de la loi, rend pratiquement impossible toute activité commerciale dans l’État du Nouveau-Mexique », a affirmé le directeur juridique de Meta, C.J. Mahoney, dans une déclaration citée par l’agence Reuters. « Au fond, cette action en justice vise à imposer une taxe sur la liberté d’expression afin d’imposer de nouvelles règles sur ce que les gens peuvent dire en ligne », s’indigne-t-il. Il précise que son entreprise va faire appel.

Un sondage effectué par YouGov pour le think tank européen Interface montre que les enfants de plus de 11 ans utilisent quasiment autant les IA génératives que leurs parents. Mais ceux-ci sous-évaluent cette fréquence d’utilisation. Les enfants souhaiteraient les utiliser moins souvent.

YouGov publie ce jeudi 22 octobre un sondage commandé par le think tank européen Interface sur l’utilisation des IA génératives par les parents et enfants en France (effectué en interrogeant 1 138 parents et 970 adolescents âgés de 11 à 17 ans après accord des parents). Selon celui-ci, 86 % des enfants interrogés utilisent plus ou moins régulièrement des outils d’IA génératives, alors que 76 % des parents estiment que leurs enfants les utilisent.

Le think tank Interface qui a commandé ce sondage est une association qui revendique être apartisane et n’être « affiliée à aucune institution publique ou privée ». Sur sa page de transparence financière, elle indique avoir obtenu des financements variés venant de l’Open Society Foundation, mais aussi de la William and Flora Hewlett Foundation, de la fondation Mercator et de l’entreprise Luminate.

La démarche de ce sondage est intéressante : il essaye de mesurer l’accès et l’usage de l’IA générative chez les adolescents et chez les parents, mais aussi la perception des parents sur les usages de leurs enfants et notamment leur fréquence d’utilisation (ce qui est différent d’une mesure du temps qu’ils y passent).

Ainsi, chez les parents interrogés, on peut se rendre compte que la quasi-totalité connait les outils d’IA générative, que ce soit (à 97 %) les chatbots généralistes comme ChatGPT, Claude, Gemini, Copilot ou les assistants vocaux (à 94 %) et dans une moindre mesure (85 %), celles intégrées aux réseaux sociaux comme My AI chez Snapchat ou Meta AI dans WhatsApp ou Instagram. Ils connaissent légèrement moins (70 %) les compagnons IA comme Character.AI, Replika ou Nomi.

Leur utilisation est aussi importante. Ainsi, 80 % d’entre eux utilisent une IA générative généraliste, 57 % des assistants vocaux, 45 % des IA intégrées aux réseaux sociaux et un tiers utilise des compagnons IA :

Une sous-évaluation des parents de l’utilisation par leurs enfants

Mais concernant leurs enfants, les parents sous-évaluent l’adoption des IA génératives généralistes. Ainsi, alors que 66 % des parents pensent que leur enfant les utilise, 78 % des enfants déclarent le faire. Pour le reste des outils, l’écart entre la perception des parents et la déclaration des enfants existe, mais elle est plus faible (49 % contre 55 % pour les assistants vocaux, par exemple).

On peut voir aussi dans ces résultats que l’utilisation au moins une fois par semaine est sous-évaluée par les parents : 41 % d’entre eux, contre 51 % d’utilisation déclarée chez les enfants.

Selon ce sondage, l’utilisation des IA génératives par les enfants plus jeunes semble plus sous-évaluée :

Les parents perçoivent plus de risques que leurs enfants

Quand YouGov propose aux parents d’évaluer ce que l’utilisation de l’IA générative fait sur leurs enfants, les parents restent prudents. 32 % estiment par exemple qu’elle « peut être un outil utile pour la réussite scolaire » mais aussi à 27 % qu’elle « nuit au développement de la réflexion personnelle de mon enfant ». De même, 32 % estiment qu’elle « aide mon enfant à approfondir ses connaissances », mais à 24 % qu’elle « expose mon enfant à des informations fausses ou trompeuses ».

Du côté des enfants, la perception des aspects négatifs est beaucoup moins forte. Ainsi, ils sont 47 % à choisir que l’IA « me fait gagner du temps (par exemple les devoirs) » et seulement 17 % qu’elle « m’empêche de réfléchir par moi-même ».

Les enfants sentent que les outils les incitent à les utiliser plus souvent qu’ils ne le veulent

Mais les enfants, en très grande majorité (92 %), souhaiteraient néanmoins passer moins de temps sur ces outils. Ainsi ils sont 59 % à avoir l’impression de passer trop de temps avec des compagnons IA et 57 % avec des IA intégrées aux réseaux sociaux. De façon moins importante mais significative, ils sont 45 % à avoir ce sentiment pour les outils d’IA générative généraliste et 43 % pour les assistants vocaux.

4 !

eMudhra, une entreprise indienne qui se targue d’avoir délivré plus de 60 millions de certificats numériques, utilisait des clés privées très mal générées. Résultat : n’importe qui pouvait les utiliser pour certifier un site. Le travail pour faire le ménage est important et ne se limite pas aux navigateurs qui ont rapidement bloqué les certificats concernés.

Des ingénieurs en cryptographie se sont aperçus que huit clés privées de l’entreprise eMudhra, autorité de certification basée en Inde, étaient extrêmement mal générées. Elles mettent la sécurité des communications sur Internet en grande difficulté. L’entreprise indienne assure cependant qu’une seule d’entre elles était en production et qu’elle n’avait délivré aucun certificat.

Les certificats TLS permettent aux internautes d’authentifier un tiers et d’initier une communication sécurisée. Ils sont notamment utilisés pour sécuriser le protocole HTTPS. Mais ils reposent sur la certification émise par des autorités via une signature construite à partir d’une clé privée. Si un tiers obtient celle-ci, il peut créer des certificats et se faire passer pour quelqu’un d’autre, par exemple votre banque ou une entreprise de vente en ligne en laquelle vous avez assez confiance.

Des clés privées associées à huit certificats intermédiaires compromises

« Le samedi 17 octobre, à 20 h 06 UTC, Mozilla a reçu un signalement d’un membre de la communauté indiquant que les clés privées associées à huit certificats intermédiaires eMudhra avaient été compromises. Ces clés pourraient permettre à des pirates d’émettre des certificats HTTPS frauduleux pour des sites web qu’ils ne contrôlent pas », a expliqué Dennis Jackson, ingénieur en cryptographie chez Mozilla ce mardi 20 octobre dans un message envoyé à la communauté.

« Un pirate peut créer un faux certificat pour n’importe quel domaine et s’en servir pour usurper l’identité de serveurs afin d’intercepter ou de modifier le trafic. Il s’agit d’un incident de sécurité grave dont les répercussions s’étendent à l’ensemble d’Internet », ajoute Cloudflare dans un billet consacré au sujet.

Des clés « intrinsèquement faibles »

Le problème, découvert par un certain Wayne, est décrit sur un site nommé « eMudhra, nous avons un problème » créé par Dennis Jackson, un ingénieur de Mozilla. Il y partage la preuve de la compromission des certificats. Le chercheur en cryptographie, Scott Helme a analysé le problème dans un billet de blog.

« Ces huit certificats intermédiaires comprennent six autorités de certification (CA) délivrant des certificats TLS (DV, OV et EV, deux générations pour chaque type) et deux autorités de certification pour la signature de code, toutes créées en avril 2025. Chacune d’entre elles a également été signée de manière croisée par la racine « AAA Certificate Services » de Sectigo en mai 2025 », explique-t-il.

« Il s’agit de clés à un octet intrinsèquement faibles que n’importe qui peut factoriser, et ce problème ne peut pas être maîtrisé », ajoute le chercheur. « Intrinsèquement faibles » est presque une litote puisque, comme le souligne Scott Helme : « L’une des clés privées de l’autorité de certification eMudhra est le chiffre 4 ». « Il ne s’agit pas d’un nombre commençant par 4, ni du chiffre 4 suivi de quelques centaines de chiffres aléatoires, mais simplement du chiffre 4… », insiste-t-il. « Une autre est 56, et une autre encore 115 ». Elles étaient donc extrêmement faciles à trouver.

Normalement, avec des clés de ce type (courbe elliptique P-384), il faudrait un nombre aléatoire de 384 bits (48 octets), alors que dans le cas présent seul le dernier octet est utile ; les 47 autres ne contiennent que des 0. Retrouver la clé privée ne demande donc que 255 essais au maximum, autant dire en un claquement de doigts.

Les certificats rapidement bloqués pour la navigation web

Concernant la navigation sur le web, Mozilla, Chrome, Apple et Microsoft ont rapidement réagi. Ainsi Mozilla affirme que, moins de trois heures après avoir été prévenu, elle a bloqué les certificats dans Firefox via OneCRL. Les équipes de Chrome expliquent avoir fait de même via CRLSet. Les deux éditeurs ont aussi signalé qu’ils supprimaient le certificat racine eMudhra de leurs listes de certificats de confiance. L’entreprise indienne et Sectigo ont elles-mêmes révoqué les huit certificats en question.

L’équipe de Chrome explique aussi que, « par défaut, Chrome applique la transparence des certificats (Certificate Transparency, CT) à toutes les connexions s’appuyant sur des certificats racine figurant dans le magasin de certificats racine de Chrome, et rejette tout certificat TLS n’ayant pas été enregistré conformément à notre politique ». C’est le cas aussi de Firefox depuis la version 135. « Étant donné qu’aucun certificat TLS lié à ces six autorités de certification intermédiaires n’avait été enregistré dans CT avant notre blocage du CRLSet le 17 octobre, aucun certificat frauduleux émis par ces autorités de certification n’aurait pu être considéré comme fiable par défaut dans Chrome ou dans d’autres navigateurs appliquant la transparence des certificats ».

Sur son site, Dennis Jackson explique que les certificats sont aussi bloqués sur les appareils Apple depuis le 19 octobre et sur les plateformes Microsoft depuis le 20. Ainsi, les logiciels pour Windows et les systèmes d’exploitation d’Apple ne peuvent plus non plus être authentifiés par ces certificats.

Des services à mettre à jour, une résolution plus compliquée pour le matériel

Mais le problème reste pour nombre de services Internet. « La plupart des clients TLS autres que les navigateurs (c’est-à-dire pratiquement tout le reste, avec les paramètres par défaut), tels que curl, Python, Node, Go, Java, git, les gestionnaires de paquets ainsi que tous les scripts et démons dont vous disposez, effectuent trois actions importantes dans ce contexte : ils font confiance à un ensemble d’autorités de certification [CA bundle, en anglais] stocké sur le disque, ils ne vérifient pas la révocation par défaut et ils ne vérifient pas la CT », explique Scott Helme.

Certaines équipes de ces outils ont déjà réagi. Comme le liste The Hacker News, un correctif a par exemple été mis en place pour Go, pour Network Security Services, pour Python certifi, pour Homebrew-core ou encore pour Rust webpki-roots.

Le conseil est donc de mettre à jour tout ce qui peut l’être et qui intègre un ensemble d’autorités de certification [CA bundle]. Comme le souligne Scott Helme, reste le matériel ne pouvant pas être mis à jour et qui va donc faire confiance à ces certificats jusqu’à juillet 2039, date de leur expiration.

eMudhra assure qu’aucun certificat ne s’appuyait sur ces clés et qu’une seule était en production

De son côté, eMudhra explique depuis le 20 octobre enquêter sur l’incident. Ce mercredi 21 octobre, elle assure que « sept des huit [clés] intermédiaires n’ont jamais été utilisées en production. La seule qui ait été utilisée en production n’avait délivré aucun certificat ». Elle affirme les avoir révoquées mais insiste : « elles n’ont jamais émis de certificat ; par conséquent, aucun certificat utilisé où que ce soit ne s’appuyait sur elles ».

Mais comme l’explique Scott Helme, pendant 17 mois, tout le monde pouvait pourtant émettre ses propres certificats en utilisant ces clés et ainsi certifier un site ou un service. Le chercheur l’a testé sur un serveur local et un certificat pour l’API de paiement par Internet de Stripe api.stripe.com. « Avec les paramètres par défaut, curl a indiqué que la vérification du certificat SSL s’était bien déroulée, Python a mené à bien la négociation de connexion et Node a renvoyé la valeur authorized: true. Cela s’est vérifié sur toutes les machines Linux et macOS que j’ai testées », explique-t-il.

« Par mesure de précaution, la clé racine a été considérée comme non fiable par les programmes de gestion des clés racines. À notre connaissance, aucune autre clé racine ni aucune clé intermédiaire n’ont été générées à l’aide de ce processus défaillant », ajoute dans sa note eMudhra.

L’entreprise n’a pas encore fini son enquête. Mais elle assure qu’elle a bien généré des clés « sur des modules de sécurité matériels [Hardware Security Modules, HSM] certifiés FIPS 140 - 2 niveau 3. Les allégations selon lesquelles les HSM n’auraient pas été utilisés sont erronées ». Elle ajoute cependant que « le problème provenait d’une faille dans l’une des étapes de la procédure de génération, et non de l’absence d’HSM ». Ainsi, pendant cette procédure, une étape clé de « wrap/unwrap » » aurait, selon l’entreprise indienne, « généré un deuxième ensemble de clés, plus faibles, en plus des clés originales, plus fortes. Ce sont ces clés plus faibles qui ont été publiées dans les magasins de clés racines des navigateurs ».

Mega Cambridge Analytica

Alors que le deuxième tour de la présidentielle brésilienne arrive, Meta est accusée d’avoir introduit des biais dans ses algorithmes, dans ses IA et dans son traitement de la modération pour favoriser Flávio Bolsonaro contre le président actuel Luiz Inácio Lula da Silva. La justice brésilienne a donné 24 h à l’entreprise de Mark Zuckerberg pour montrer son impartialité.

Les élections dans les pays d’Amérique latine ne sont pas à l’abri de l’ingérence des entreprises états-uniennes proches de Donald Trump. Ainsi, à l’approche du deuxième tour de l’élection présidentielle qui aura lieu le 25 octobre, le camp du président brésilien sortant, Luiz Inácio Lula da Silva, a formellement accusé Meta d’ingérence électorale en faveur de Flávio Bolsonaro, son opposant d’extrême droite.

Déjà, avant le premier tour, son équipe s’était plainte que Meta avait brièvement suspendu le recours à la publicité de sa page Facebook. Mais ce n’est pas la seule difficulté qu’a rencontrée l’équipe de Lula avec les différents outils de l’entreprise propriétaire d’Instagram, Facebook et WhatsApp . « La succession de problèmes techniques non expliqués par l’entreprise laisse fortement soupçonner que l’action de Meta constitue une tentative d’ingérence dans le processus électoral brésilien au profit de la candidature de Flávio Bolsonaro », a déclaré le 10 octobre dernier un des porte-paroles du Parti des travailleurs représenté par Lula.

Des biais dans les algorithmes et les IA de Meta en faveur de Bolsonaro ?

L’équipe du président a attaqué la semaine dernière l’entreprise de Mark Zuckerberg en justice, l’accusant de biaiser les algorithmes de ses réseaux sociaux et les réponses de ses modèles d’IA pour favoriser Bolsonaro. Le juge de la Cour supérieure de justice brésilienne, Marco Aurélio Bellizze, s’est prononcé jeudi 15 octobre.

Selon Associated Press qui a eu accès à la délibération, il a statué que Meta ne pouvait pas réduire la diffusion de contenus politiques, restreindre les recherches ou supprimer des publications d’une manière susceptible de créer un déséquilibre entre les deux candidats. Meta devait aussi s’assurer que ses outils d’intelligence artificielle soient impartiaux. Le jugement appliquait une peine de jour-amende à Meta de 500 000 reales (89 000 euros) en cas de non-respect de la décision.

Le tribunal a rendu ce lundi une nouvelle décision, selon l’AFP, donnant cette fois 24 heures à Meta pour prouver qu’elle n’a pas mis en place d’ingérence dans la campagne électorale brésilienne. Le juge a multiplié par deux la peine de jour-amende si l’entreprise ne répond pas.

Des messages internes confirment, Meta réfute, invoquant des problèmes techniques

Le journal brésilien Folha de S.Paulo a pu consulter des messages internes entre employés de Meta montrant que l’entreprise a mis en place des restrictions sur le compte Instagram de Lula concernant sa promotion mais aussi une recommandation du profil de Flávio Bolsonaro. La loi électorale brésilienne interdit toute recommandation algorithmique sur les réseaux sociaux : la promotion est donc le seul moyen pour les candidats d’augmenter leur audience. Nos confrères brésiliens expliquent que l’entreprise de Mark Zuckerberg détient un quasi-monopole concernant la publicité électorale numérique puisque Google a arrêté ce genre de publicité depuis 2024.

Meta réfute les accusations, invoquant auprès de nos confrères d’Associated Press une série de défaillances techniques mondiales sans lien entre elles, de mesures anti-fraude strictes et du respect des réglementations, plutôt qu’une censure ciblée. Elle affirme que l’une de ces mesures concerne le décompte des vues sur les Reels Instagram dans plus de 100 pays. Un autre aurait perturbé, toujours sur Instagram, la création de publicités reprenant des publications déjà existantes. L’agence de presse pointe que l’entreprise n’a « toutefois pas expliqué pourquoi les comptes Instagram et WhatsApp de Bolsonaro bénéficiaient de recommandations algorithmiques ».

Les arguments de Meta ne semblent pas avoir convaincu les militants de Lula qui ont manifesté devant le siège social brésilien de l’entreprise.

Le parti d’extrême droite allemand Alternative für Deutschland (AfD) a été touché par un « gigantesque vol de données », explique le média Bild.

Des pirates ont revendiqué la récupération de 421 179 emails provenant de boites de différents dirigeants du parti qui n’hésite pas à jouer sur ses affiches avec les symboles du IIIe Reich. Des emails de la responsable du parti, Alice Weidel, du président d’honneur, Alexander Gauland et du député Leif-Erik Holm feraient partie du lot.

• Musk réaffirme son soutien à l’AfD et crée la polémique en Allemagne

L’AFD confirme à Bild le piratage : « En septembre 2026, un prestataire de services d’hébergement de notre parti a été victime d’une cyberattaque au cours de laquelle certaines parties d’un petit nombre de boîtes mail – dont la plupart n’avaient plus été utilisées depuis des années – ont apparemment été copiées illégalement ».

Les pirates ont créé un site pour l’occasion. Mais il n’y publient pas tous les emails, ils y proposent une sorte d’index dans lequel les documents qu’ils ont obtenus sont classés en fonction de leur gravité supposée selon différents critères que sont le racisme, l’antisémitisme mais aussi les menaces de violence, les références au Mouvement des citoyens du Reich, ou d’autres « activités illégales ».

Les items en question ne donnent pas accès aux conversations complètes : une fiche manifestement générée grâce à un extract IA liste des dates, des adresses mail, et d’autres éléments censés permettre l’identification des mails d’origine.

Le site ne donne accès à aucune information tangible quant au contenu des mails en question. Pour y accéder, les pirates renvoient vers une archive de 281 Go via torrent, qui n’a pour l’instant pas été auditée de façon indépendante, où se retrouveraient les e-mails originaux complets avec les en-têtes, corps de message et pièces jointes dans leur intégralité et les signatures DKIM intactes.

L’action ne semble pas avoir été officiellement revendiquée, il faudra maintenant attendre que les médias allemands ou des internautes se saisissent de cette base de données pour la vérifier.

Obélix et Astérix sont pas de la partie ?

La mission spatiale japonaise Martian Moons eXploration doit décoller ce soir du Japon en direction de deux satellites de Mars : Phobos et Déimos. Elle doit déposer sur le premier le rover Idefix développé notamment par le CNES.

L’agence spatiale japonaise Jaxa s’apprête à lancer, ce soir et depuis l’île de Tanegashima (Japon) sa mission MMX (Martian Moons Exploration) à bord d’une fusée H3. Celle-ci a pour but de connaitre un peu mieux la planète rouge en allant observer ses deux satellites que sont Phobos et Déimos. Et même de rapporter des échantillons provenant du premier !

Une origine mystérieuse de ces satellites

Si elle réussit, ça sera la première mission scientifique à rapporter des échantillons venant de Mars. Rappelons que les États-Unis ont décidé, en début d’année, d’abandonner les échantillons recueillis sur Mars par le rover Perseverance : la mission Mars Sample Return a été tout bonnement annulée.

• NASA : un budget moins catastrophique que prévu mais Mars Sample Return est abandonné

Concernant MMX, l’avenir du projet reste au beau fixe. La JAXA propose de suivre le lancement ce soir sur sa chaine YouTube. Comme nous l’expliquions déjà il y a 9 ans, l’idée principale est donc de faire un aller-retour vers Mars avec une escale sur Phobos.

Comme le souligne le Journal du CNRS, l’idée d’aller explorer Phobos s’explique aussi parce que l’origine des deux satellites de Mars reste mystérieuse : « Il y a deux théories, résume Patrick Michel, astrophysicien et directeur de recherche CNRS à l’Observatoire de la Côte d’Azur. Phobos et Déimos ressemblent à des astéroïdes, et auraient ainsi pu être capturés par la force d’attraction gravitationnelle de Mars. Mais leur trajectoire paraît bien étrange. Il pourrait donc s’agir du résultat d’un impact géant, mais ce n’est pas ce que nous montrent les observations sur sa composition pour l’instant. »

L’agence spatiale japonaise prévoit d’abord un voyage d’une année pour arriver aux alentours de Mars. Sa sonde amène avec elle neuf instruments, dont le spectromètre à neutrons et rayons gamma baptisé MEGANE développé par la NASA et MIRS, un spectromètre imageur infrarouge développé par le Laboratoire d’Etudes Spatiales et d’Instrumentation en Astrophysique (LESIA) en partenariat avec le CNES. MIRS doit « permettre de caractériser la composition minéralogique de la surface des lunes de Mars et l’analyse de l’atmosphère martienne. Il va permettre de participer à la sélection des sites d’atterrissage de MMX », explique le CNES.

Observer, récupérer 10 g et revenir

Car l’idée est ensuite de récupérer des informations sur Phobos pour connaître sa topologie et chercher des dizaines de sites d’atterrissage potentiels pour déterminer le meilleur endroit pour s’y poser.

Ensuite, la mission doit envoyer son rover pour observer la surface du satellite de Mars. Ce rover s’appelle Idefix. Il a été développé par le CNES en collaboration avec le Centre allemand pour l’aéronautique et l’astronautique (Deutsches Zentrum für Luft- und Raumfahrt, DLR). Si vous voulez vous amuser à en imprimer une copie, le CNES a même partagé les plans.

• Astérix : il y a 50 ans, la France mettait en orbite son premier satellite

Si tout va bien, Idefix pourra ensuite donner des indications à la sonde principale de la mission pour qu’elle puisse à son tour atterrir sur Phobos. Elle y collectera 10 g d’échantillons pour qu’ils soient analysés plus tard sur Terre. Après quelques observations supplémentaires sur Phobos, MMX passera par le deuxième satellite de Mars, Deimos, pour l’observer aussi, puis repartira des environs de Mars en 2030. La JAXA espère récupérer tout ce beau monde en 2031.

On a retrouvé les clés ?

Après la baisse des budgets de la recherche en France, la Cour des comptes plaide pour une baisse du nombre d’unités mixtes de recherche (UMR), ces laboratoires dans lesquels organismes de recherche et universités mettent des moyens en commun au service d’un même projet scientifique. Au risque de raviver la colère dans le milieu contre ce que l’ancien PDG du CNRS avait appelé les « key labs ».

La Cour des comptes acte que les gouvernements successifs français n’ont pas augmenté le budget de la recherche en France (public et privé) de manière à ce qu’il atteigne l’objectif longtemps planifié de 3 % de PIB. Dans un rapport sur les unités mixtes de recherche (UMR), la juridiction administrative en profite pour remettre sur l’établi le projet des « key labs » que le gouvernement et le PDG du CNRS de l’époque, Antoine Petit, avaient abandonné début 2025 après le mouvement de défiance qu’il avait suscité au sein de l’organisme.

• [MAJ] CNRS : le ministre Philippe Baptiste impose un moratoire sur les « key labs »
• Situation critique pour la recherche, le budget de l’ANR « insoutenable » d’ici 2028
  

La juridiction administrative, dirigée depuis février par l’ancienne ministre de l’Action et des Comptes publics Amélie de Montchalin, a publié récemment un rapport [PDF] sur les unités mixtes de recherche (UMR), une organisation « sans équivalent au monde » mise en place en France dans les années 1960 pour créer des laboratoires communs entre universités et organismes de recherche comme le CNRS (l’organisme qui y est de fait le plus impliqué), l’Inria, l’Inserm ou encore le CNES, par exemple.

L’exécutif a abandonné l’ambition d’un budget de la recherche important

La Cour des comptes y constate que la France « ne consacre que 2,18 % [chiffre 2023] de son PIB à la recherche, alors que six États de l’Union européenne, dont l’Allemagne, atteignent l’objectif de 3 % fixé dans le cadre de la stratégie de Lisbonne ».

Enlarge your conversation

La publicité ciblée de ChatGPT disponible aux États-Unis permet à toute personne qui veut lancer une campagne de toucher des personnes en fonction de la conversation en cours, mais aussi de l’e-mail ou du numéro de téléphone de l’utilisateur.

Après avoir proposé un outil gratuit et sans publicité, OpenAI a progressivement mis en place l’affichage de publicités dans ses offres gratuite et Go. Comme d’autres entreprises du numérique, son outil intègre maintenant de la publicité ciblée. Celle-ci (aux États-Unis pour l’instant) est particulièrement précise et peut utiliser des données personnelles.

OpenAI a intégré depuis le début de l’année de la publicité dans son chatbot. D’abord ajoutées aux États-Unis, les pubs sont arrivées en France et en Europe depuis la fin du mois d’aout. De la même façon, l’entreprise a d’abord testé le ciblage des utilisateurs par les publicitaires de l’autre côté de l’Atlantique et, pour l’instant, celui-ci n’est pas encore actif chez nous.

Des publicités qui doivent s’adapter aux prompts des utilisateurs

Ce ciblage est particulièrement fin. Ainsi, si OpenAI assure ne pas partager d’information sur ses utilisateurs aux annonceurs, l’entreprise pousse ces derniers à créer des campagnes publicitaires adaptées à des groupes d’utilisateurs en fonction du contexte, afin qu’elle les cible pour eux. « Les indications contextuelles aident nos systèmes à déterminer quand vos publicités peuvent être pertinentes dans ChatGPT », explique OpenAI aux entreprises qui veulent placer de la publicité dans son chatbot. « Utilisez-les pour fournir des informations supplémentaires sur votre offre, au-delà de ce qui ressort déjà clairement de votre publicité ou de votre page de destination ».

Ainsi, OpenAI pousse les annonceurs à créer plusieurs types de publicité pour toucher au mieux ses utilisateurs : « Par exemple, une entreprise de plomberie peut utiliser des groupes d’annonces distincts pour les réparations d’urgence et l’entretien préventif. Ces deux groupes font la promotion de la même entreprise, mais répondent à des besoins différents de la clientèle ».

404 Media a testé l’outil proposé aux annonceurs en créant deux publicités. Nos confrères expliquent que le formulaire demande : « Décrivez les conversations, les sujets ou les mots-clés dans lesquels vos produits ou services pourraient être pertinents ; ces indications orientent la mise en correspondance, mais ne constituent pas des règles de ciblage par correspondance exacte ».

Utilisation de listes de prospects ou de clients

OpenAI permet aussi aux annonceurs de faire des campagnes en ciblant des listes d’utilisateurs sur lesquels ils ont des informations personnelles. L’entreprise appelle ces listes des « audiences personnalisées » (« custom audiences », en anglais). Ainsi, une page du site de l’entreprise explique : « les audiences personnalisées sont créées à partir de listes de clients ou de prospects à l’aide d’adresses e-mail, de numéros de téléphone, d’adresses e-mail hachées, de numéros de téléphone hachés ou d’identifiants publicitaires Google (GAID) ». Ainsi, les annonceurs peuvent utiliser des listes de numéros de téléphone ou d’e-mails sans même les hasher. Interrogée par 404 Media pour savoir si elle hashait les données qui ne le sont pas, l’entreprise n’a pas répondu mais a précisé que les fichiers de listes étaient supprimés après traitement (normalement dans les 24 h).

Ces listes peuvent être soit des listes noires (où les utilisateurs listés sont exclus du ciblage), soit des listes blanches (où ils sont au contraire inclus). Ces dernières ne peuvent être utilisées que si elles contiennent au moins 25 000 utilisateurs de ChatGPT.

« Le simple fait de figurer sur la liste d’un annonceur ne suffit pas à lui seul à déclencher l’affichage d’une publicité. Les filtres d’inclusion et les ajustements d’enchères par audience nécessitent au moins 25 000 utilisateurs correspondants, et les annonceurs ne peuvent pas voir quelles personnes correspondent ni sélectionner des individus spécifiques au sein d’une audience », explique OpenAI à 404 Media.

Après avoir introduit ses publicités, OpenAI semble vouloir miser dessus pour son business model. Au-delà du ciblage, l’entreprise a annoncé récemment l’introduction d’images publicitaires dans son chatbot. Et comme l’a repéré The Information, l’entreprise est allée débaucher chez ses concurrents des spécialistes du sujet. Ainsi, depuis mars dernier, le responsable du service publicité d’OpenAI est David Dugan, qui a passé 12 ans chez Meta/Facebook. En juillet, Mitch Pilar est parti de chez Google pour rejoindre son équipe et Mark Bambury, ancien de Twitter, est arrivé en septembre dans les locaux d’OpenAI Irlande pour gérer les publicités de la zone Europe, Moyen-Orient et Afrique (EMEA).