Un vent de transparence ?

Alors que les entreprises d’IA génératives donnent de moins en moins d’information sur l’impact environnemental de leurs modèles, Mistral a travaillé avec l’agence Carbone 4 et l’ADEME sur celui de son modèle Large 2. L’entreprise explique notamment que l’entrainement de ce modèle a émis l’équivalent de 20 400 tonnes de CO₂.

Il est difficile de connaître l’impact environnemental des modèles de langage puisque jusque-là, les entreprises qui les créent étaient peu bavardes sur le sujet. Les chercheuses de Hugging Face, Sasha Luccioni, Bruna Trevelin et Margaret Mitchell ont bien tenté de le mesurer, mais elles déploraient, en septembre 2024, qu’ « il existe actuellement peu de transparence sur les demandes énergétiques des applications spécifiques de l’IA ».

Dans un article mis en ligne en juin dernier sur la plateforme de preprints arXiv, Sasha Luccioni, avec Boris Gamazaychikov de Salesforce, Theo Alves da Costa de Ekimetrics et Emma Strubel de l’Université Carnegie Mellon, déploraient encore une « désinformation par omission » sur le sujet.

Ils écrivaient que « la tendance actuelle à la réduction de la transparence concernant l’impact environnemental de l’IA contribue à la désinformation et entrave la prise de décisions éclairées à tous les niveaux, des chercheurs et développeurs individuels aux organisations et décideurs politiques ». Ils ajoutaient que « cette baisse de transparence est particulièrement préoccupante compte tenu de l’impact environnemental croissant de l’IA dans un contexte de préoccupations climatiques mondiales et de limites planétaires imminentes ».

Dans cet article, ils expliquaient que « les données de mai 2025 indiquent que parmi les 20 modèles les plus utilisés, un seul (Meta Llama 3.3 70B) a directement publié des données environnementales et trois (DeepSeek R1, DeepSeek V3, Mistral Nemo) les ont publiées indirectement (en partageant des données de calcul telles que le type de GPU et la durée de formation, ainsi qu’en publiant les poids de leurs modèles afin de permettre une analyse de l’efficacité) ».

Mistral ouvre le capot de Large 2

En cette mi-juillet, Mistral ouvre (un peu) le capot de son modèle Large 2 concernant son impact environnemental. Dans un billet de blog, l’entreprise explique avoir travaillé avec l’agence Carbone 4 et l’ADEME sur « l’analyse du cycle de vie d’un modèle d’IA ». Sans donner les chiffres bruts ni publier, à ce stade, l’étude qu’elle a faite, l’entreprise livre divers chiffres sur la consommation de son modèle et assure que son étude a été examinée par deux autres agences (Resilio et hubblo). Elle ajoute que cette étude suit le référentiel général pour l’IA frugale développé par l’AFNOR et est conforme aux normes internationales, notamment la norme Green House Gas (GHG) Protocol Product Standard et la norme ISO 14040/44.

Ainsi, elle confirme d’abord que l’entrainement et l’inférence (qu’elle mélange dans l’infographie ci-dessous) sont les parties qui émettent le plus d’émissions de gaz à effet de serre (85,5 %) pour le modèle Large 2 de Mistral.

Néanmoins, concernant ce point, l’entreprise rappelle que la fabrication et la gestion de la fin de vie du matériel utilisé ne sont pas à négliger puisqu’elles représentent 11 % des émissions du modèle.

L’entreprise rappelle que la localisation des datacenters est un facteur clé de son impact environnemental puisque de celle-ci va dépendre de la nature de l’énergie qu’ils vont dépenser. Ainsi, en entrainant son modèle en France, avec de l’énergie provenant notamment de centrales nucléaires et un climat encore relativement tempéré, Mistral émet moins de CO2 et consomme moins d’eau que dans beaucoup d’autres régions du monde.

20 400 tonnes de CO₂ et 281 000 m³ d’eau

L’entreprise donne des chiffres plus précis sur l’impact environnemental de l’entrainement de son modèle Large 2. Ainsi, elle explique qu’en janvier 2025, après 18 mois d’utilisation, Large 2 a émis l’équivalent de 20 400 tonnes de CO₂ (tCO₂e), consommé 281 000 m³ d’eau et l’équivalent de 660 kg d’antimoine en ressources matérielles (660 kg sb eq, une unité de mesure de la consommation de ressources matérielles qui se base sur la consommation de l’élément chimique antimoine, sb).

Mistral précise, concernant l’inférence, qu’une réponse de son assistant « Le Chat » utilisant ce modèle avec 400 tokens consomme l’équivalent de 1,14 g de CO₂, 45 mL d’eau et l’équivalent de 0,16 mg d’antimoine. Elle qualifie ces impacts de l’inférence de « marginaux ».

Mistral précise que « ces chiffres reflètent l’ampleur des calculs impliqués dans l’IA générique, qui nécessite de nombreux processeurs graphiques, souvent dans des régions où l’électricité est très polluante et où il y a parfois des problèmes d’approvisionnement en eau ». Elle ajoute qu’ « ils incluent également les « émissions en amont », c’est-à-dire les impacts liés à la fabrication des serveurs, par exemple, et pas seulement à la consommation d’énergie ».

Dans leur article de juin, Sasha Luccioni et ses collègues rappelaient que Google avait estimé en octobre 2024 [PDF] que l’entrainement de sa famille de modèles Gemma avait consommé l’équivalent de 1 247,61 tonnes CO2 et que, de son côté, Meta avait estimé la consommation de l’entrainement de sa famille Llama 3 à l’équivalent de 11 390 tonnes de CO2.

Plaidoyer pour une transparence accrue dans le milieu

« Notre étude montre également une forte corrélation entre la taille d’un modèle et son empreinte », explique Mistral. L’entreprise précise que « les benchmarks ont montré que les impacts sont à peu près proportionnels à la taille du modèle : un modèle 10 fois plus grand générera des impacts d’un ordre de grandeur supérieur à ceux d’un modèle plus petit pour la même quantité de jetons générés. Cela souligne l’importance de choisir le bon modèle pour le bon cas d’utilisation ».

Elle ajoute que cette étude est « une première approximation compte tenu de la difficulté à effectuer des calculs précis dans le cadre d’un tel exercice en l’absence de normes relatives à la responsabilité environnementale des environnements LLM et de facteurs d’impact accessibles au public ». Elle fait remarquer, par exemple, qu’ « aucun inventaire fiable du cycle de vie des GPU n’a encore été réalisé ». Ainsi leurs impacts intrinsèques « ont dû être estimés, mais ils représentent une part importante des impacts totaux ».

Mistral propose que les futurs audits sur le sujet dans le secteur prennent exemple sur son étude qui a « utilisé une approche basée sur la localisation des émissions liées à l’électricité et à inclure tous les impacts significatifs en amont, c’est-à-dire non seulement ceux liés à la consommation électrique des GPU, mais aussi toutes les autres consommations électriques (CPU, dispositifs de refroidissement, etc.) et la fabrication du matériel ».

L’entreprise s’engage à mettre à jour ses rapports sur l’impact environnemental et à participer aux discussions sur des normes industrielles internationales sur le sujet, plaidant pour une plus grande transparence « tout au long de la chaine de production de l’IA ». Elle ajoute qu’elle va partager les résultats sur la base de données « Base Empreinte » de l’ADEME « établissant une nouvelle norme de référence pour la transparence dans le secteur de l’IA ». On attend avec impatience la publication de ces données dans cette base pour que la transparence soit encore un peu plus complète.

PayPal annonce le lancement de PayPal World, « vers la fin de l’année 2025 », une plateforme destinée à faciliter les paiements commerciaux transfrontaliers… et à toucher plus de deux milliards d’internautes sur la planète.

Pour y parvenir, l’entreprise et son service Venmo s’associent à TenPay Global (branche du chinois Tencent), qui gère l’écosystème de paiement de WeChat, à la NPCI International Payements Limited, qui gère le système de paiement mobile indien UPI (Unified Payement Interface), ou encore à Mercado Pago, une fintech qui propose carte bancaire et paiements mobiles en Amérique latine.

Les partenaires cités touchent effectivement des masses importantes d’usagers, rappelle TechCrunch : en volume, Mercado Pago a traité 58,3 milliards de dollars de transaction au premier trimestre 2025 et UPI 238 milliards de dollars sur le seul mois de juin.

La plateforme permettra aux détenteurs de comptes PayPal ou Venmo d’envoyer de l’argent n’importe où sur le globe, y compris vers des internautes qui n’ont pas de compte chez les deux entreprises.

De même, elle permettra à des utilisateurs indiens de l’UPI de payer aux États-Unis sans s’être créé de compte chez un fournisseur local de moyen de paiement.

Recherche plombier expérimenté

France Travail a alerté par email certains de ses usagers d’un incident de cybersécurité survenu au niveau d’un service dédié au suivi des formations. Il est susceptible d’avoir conduit à l’exposition des données personnelles de 340 000 inscrits.

France Travail a envoyé, mardi 22 juillet au soir, un courrier d’information à certains des usagers inscrits à son service, alertant d’un acte de cyber malveillance susceptible d’avoir entrainé la consultation illégitime de leurs données personnelles. Dans son email, que Next reproduit ci-dessous, l’ex Pole Emploi indique que la fuite est survenue au niveau « du portail emploi destiné à [ses] partenaires ».

Nom, prénom, adresses, téléphone et statut France Travail

L’agence affirme par ailleurs avoir immédiatement fermé le service concerné, lancé des analyses pour déterminer l’origine de l’attaque, et rempli ses obligations de signalement en informant la CNIL dès le 13 juillet, date de la découverte de cet incident.

« Les données compromises sont vos nom, prénom, adresses postale et électronique, numéro de téléphone, identifiant France Travail et statut (inscrit, radié). Vos données bancaires ou vos mots de passe ne sont pas concernés par cet incident », informe France Travail.

Comme toujours en de telles circonstances, l’agence invite les utilisateurs concernés à la prudence, notamment vis à vis des risques de phishing (hameçonnage).

Une application de suivi des formations mise en cause

Contactée par Next, la direction de France Travail apporte quelques précisions sur la nature de l’incident et surtout sur son périmètre. L’alerte est d’abord partie du CERT-FR de l’ANSSI, le 12 juillet. Son traitement a permis aux équipes internes de France Travail d’identifier le service par lequel est intervenue la fuite.

« Il s’agit de l’application Kairos permettant aux organismes de formation d’agir sur le suivi des formations des demandeurs d’emploi. Le service a été immédiatement fermé ainsi que tous les autres services hébergés sur le portail Emploi destiné à nos partenaires », explique France Travail. La fuite aurait été rendue possible grâce à la compromission, via un malware de type infostealer (logiciel spécialisé dans le vol d’informations personnelles) d’un compte utilisateur rattaché à un organisme de formation basé dans l’Isère.

340 000 demandeurs d’emploi concernés

Outre le signalement à la CNIL, France Travail indique avoir déposé plainte auprès des autorités, en parallèle de la procédure obligatoire d’information des personnes concernées. « Les données de 340 000 demandeurs d’emploi ont été consultées et seraient donc susceptibles d’être divulguées et exploitées de manière illégale », révèle à ce niveau l’agence.

Les services concernés par cette fermeture préventive devraient être réactivés jeudi. France Travail affirme en parallèle avoir intensifié ses mesures de protection, et accéléré le déploiement d’une authentification double facteur dédiée à Kairos, initialement programmée pour octobre prochain.

« Face à la menace croissante de cyber attaques, nous renforçons en continu nos dispositifs de protection, procédures et consignes et appelons nos partenaires utilisateurs de nos services et appli à la plus grande vigilance concernant la robustesse et la confidentialité de leurs mots de passe », promet encore France Travail.

Rappelons que le service dédié aux demandeurs d’emploi a été victime, début 2024, d’une fuite de données massive qui avait conduit à l’exposition des informations relatives à quelque 43 millions d’inscrits. La portée réelle de l’intrusion avait toutefois été relativisée par la suite.

• France Travail : un piratage limité à 3 % des 43 millions des victimes « potentielles » ?

Aux États-Unis, l’agence en charge de gérer et maintenir les caches d’armes nucléaires du pays fait partie des entités victimes de l’exploitation des failles récemment découvertes dans Microsoft SharePoint.

Aucune information sensible ou classifiée n’aurait été compromise, d’après une source de Bloomberg à la National Nuclear Security Administration (NNSA), la branche du ministère de l’Énergie chargée de la production et du démantèlement des armes atomiques.

D’autres parties du ministère ont été victimes de la même attaque.

• Microsoft SharePoint : des correctifs urgents pour des failles critiques exploitées


Outre le ministère de l’Énergie, les pirates ont atteint des systèmes du ministère de l’Éducation et des administrations d’États. L’Europe et le Moyen-Orient sont également concernés.

Microsoft accuse des pirates soutenus par l’État chinois, spécifiquement les groupes LInen Typhoon et Violet Typhoon, d’être à l’origine de ces attaques.

The tea is spilled

Le gouvernement anglais exige d’Apple qu’elle perce son propre chiffrement pour donner accès aux données hébergées dans le cadre de certaines enquêtes. La société refuse catégoriquement, faisant monter le ton aussi bien au Royaume-Uni qu’aux États-Unis. La Maison-Blanche n’a pas hésité à comparer les demandes britanniques à des tactiques chinoises.

En février, Apple coupait sa Protection avancée des données pour l’iPhone au Royaume-Uni. Comme nous l’indiquions récemment dans notre dossier consacré à la sécurité du smartphone, ce mécanisme optionnel élargit le chiffrement de bout en bout sur la quasi-totalité des services en ligne proposés par l’entreprise, ne laissant plus que la sécurité par défaut sur les comptes iCloud.

• Pourquoi Apple a-t-elle coupé sa Protection avancée des données au Royaume-Uni ?

Apple avait décidé de cette coupure en réponse à une demande du gouvernement anglais à laquelle l’entreprise ne comptait pas obtempérer. En vertu de l’Investigatory Powers Act, le pays peut en effet réclamer à des entreprises des « mesures techniques ». Or, tout portait à croire qu’Apple avait reçu pour instruction d’introduire une porte dérobée dans son chiffrement de bout en bout. En outre, la loi anglaise interdit aux entreprises d’évoquer publiquement ces demandes.

Tensions entre Downing Street et la Maison-Blanche

Selon le Financial Times, cette situation crée de puissantes ondes de choc entre le cabinet du Premier ministre anglais et la Maison-Blanche, plus particulièrement JD Vance, vice-président des États-Unis. Selon un fonctionnaire (anonyme) du ministère britannique de la Technologie, le vice-président « est très mécontent de cette situation, qui doit être résolue ».

On sait que la Maison-Blanche a une idée très claire des règles auxquelles les entreprises américaines doivent obéir : les siennes. Donald Trump a évoqué plusieurs fois le racket que représentent pour lui les amendes infligées par la Commission européenne sur les grandes entreprises. Quand les récentes amendes contre Apple et Meta ont été prononcées, la Maison-Blanche a fait savoir que le DMA et le DSA seraient examinés de près, de même que toutes les lois qui viendraient influer sur le fonctionnement des entreprises américaines. L’Investigatory Powers Act semble l’une d’elles.

• Entre l’Europe et les États-Unis, le torchon brûle autour du DMA et du DSA

C’est ce qu’indique l’un des fonctionnaires interrogés par le Financial Times : « L’un des défis pour les partenariats technologiques sur lesquels nous travaillons est la question du chiffrement. Il s’agit d’une ligne rouge importante pour les États-Unis, qui ne veulent pas que nous nous mêlions de leurs entreprises technologiques ».

Pour un autre haut fonctionnaire, lui aussi sous couvert d’anonymat, le ministère britannique de l’Intérieur a très mal géré la question du chiffrement d’Apple. Il chercherait aujourd’hui à se dépêtrer d’une situation tendue. Et pour cause : le Royaume-Uni tient à ce que ses lois soient appliquées et gouterait peu l’idée de devoir reculer face au courroux américain.

Échos multiples

Si l’affaire cristallise actuellement une partie des tensions entre les États-Unis et l’Europe, c’est qu’elle se situe au croisement de plusieurs problématiques. Il y a bien sûr le chiffrement de bout en bout lui-même, souvent attaqué, comme ce fut le cas en France cette année. Les tentatives reviennent régulièrement et les acteurs impliqués réagissent à chaque fois de la même manière. À l’instar de la fondation Signal, dont la présidente Meredith Whittaker a dit et répété qu’elle quitterait tout pays se dotant d’une législation anti-chiffrement.

Ces tensions rappellent l’opposition farouche d’Apple au FBI en 2015, après l’attentat de San Bernardino, quand les autorités fédérales avaient exigé de l’entreprise qu’elle perce ses propres défenses. Le FBI s’en était finalement sorti en achetant une faille de sécurité, qui lui avait permis d’accéder aux informations – lesquelles n’avaient d’ailleurs rien révélé. Cependant, le rôle du FBI est ici tenu par une puissance étrangère et la Maison-Blanche se montre particulièrement jalouse des grandes entreprises nationales.

La tension intervient en outre à une période charnière, où les États-Unis doivent négocier d’importants accords avec l’Europe et le Royaume-Uni. Et la portée de la loi britannique agace nettement outre-Atlantique, puisque les forces de l’ordre anglaises seraient en capacité de récupérer des données de citoyens américains si Apple obtempérait. Une ordonnance qualifiée de « violation flagrante » de la vie privée des personnes concernées, selon la directrice du renseignement national des États-Unis, Tulsi Gabbard.

Équilibrisme

La situation actuelle est complexe. Interrogée par le Financial Times, Apple a répondu, comme d’habitude dans ce genre d’affaire : « Nous n’avons jamais construit de porte dérobée ou de clé principale pour aucun de nos produits, et nous ne le ferons jamais ».

Selon les fonctionnaires britanniques interrogés, le gouvernement anglais chercherait désormais une échappatoire, mais n’a pour l’instant pas reculé sur ses demandes. Downing Street sait à quoi s’en tenir, puisque dès février, Donald Trump s’était entretenu avec le Premier ministre travailliste, Keir Starmer. « Vous ne pouvez pas faire ça », avait déclaré le président américain, ajoutant que ce type de demande était « quelque chose… dont on entend parler avec la Chine ». Les États-Unis ne sont pourtant pas en reste sur la portée extraterritoriale de certaines lois, comme le Cloud Act et le FISA.

Bien que la procédure soit toujours en cours, Apple finira sans doute par emporter la manche, pas parce qu’elle aura combattu l’ordonnance devant l’Investigatory Powers Tribunal, mais parce que le ministère anglais de l’Intérieur aura trouvé une échappatoire. En dépit d’un réchauffement diplomatique entre les chefs d’États américain et anglais, la pression exercée par la Maison-Blanche va vraisemblablement mettre un coup d’arrêt à la procédure.

Une plus petite porte ?

Le projet Stargate d’OpenAI annoncé en grande pompe par Donald Trump prévoyait 500 milliards de dollars sur quatre ans dont 100 milliards devaient être investis « immédiatement ». Le projet est revu à la baisse avec, pour l’instant, un seul data center qui devrait être implanté dans l’Ohio à la fin de l’année.

Dès le lendemain de son investiture, Donald Trump annonçait en grande pompe le projet Stargate. Il promettait des centaines de milliards de dollars sur quatre ans pour cette « porte des étoiles » avec comme principaux partenaires financiers SoftBank, OpenAI, Oracle et MGX.

Mais la création « presque immédiatement » de « 100 000 emplois », selon le nouveau président, et même les « centaines de milliers d’emplois » promis par OpenAI se font attendre aux États-Unis. Selon le Wall Street Journal, six mois après, la coentreprise créée pour l’occasion n’a pas encore signé un seul contrat pour la création d’un data center.

Difficulté à sceller l’accord entre SoftBank et OpenAI

Selon les sources du média financier étasunien, les deux entreprises qui dirigent le projet, SoftBank et OpenAI, ne sont toujours pas tombées d’accord sur certains enjeux cruciaux du projet, notamment les sites sur lesquels les data centers devraient être construits.

Pour l’instant, un seul petit datacenter est dans les tuyaux. Il s’appuierait sur une « nouvelle conception moins coûteuse » que les projets habituellement prévus par ce genre d’entreprises. Ce projet ne s’accompagne néanmoins d’aucun chiffre de la puissance nécessaire pour le faire fonctionner. Puissance utilisée depuis quelque temps pour afficher la taille importante des projets de data centers.

En soi, ce n’est pas un mal que le premier data center de cette « porte des étoiles » se fasse en s’appuyant sur une réflexion sur les coûts, au contraire. Mais cela tranche avec le gigantisme et la quasi-immédiateté de l’annonce faite en janvier dernier.

Le Wall Street Journal qualifie ce retard de « lancement léthargique de Stargate » et affirme que celui-ci est un « revers pour les ambitions importantes » du CEO de SoftBank, Masayoshi Son « qui, malgré des milliards de dollars dépensés au fil des années, essaye toujours de rattraper son retard dans le secteur de l’IA, qui évolue rapidement ».

Si SoftBank a du mal à ouvrir la porte des étoiles de l’IA, elle n’a pas abandonné l’idée d’épauler les investissements d’OpenAI. En février, les deux entreprises s’alliaient pour conquérir à la fois le marché entreprises et le Japon. Et l’entreprise de Sam Altman annonçait, en avril, un nouveau tour de table mené par SoftBank. La holding japonaise avait donné son accord pour remettre au pot 10 milliards de dollars à la mi-avril et 30 milliards de dollars supplémentaires en décembre 2025.

Mais de nouveaux projets pour OpenAI avec d’autres

L’inertie de l’accord entre SoftBank et OpenAI sur Stargate ne reflète pas forcément l’état de tous les partenariats annoncés récemment autour de nouveaux data centers. Par exemple, OpenAI et Oracle (qui fait aussi partie de l’accord Stargate) ont récemment conclu un accord pour un data center demandant une puissance de 4,5 gigawatts, explique Reuters. Selon le Wall Street Journal, OpenAI va verser, dans ce cadre, 30 milliards de dollars par an à Oracle pour plusieurs centres de données qui doivent être implantés aux États-Unis, sans plus de précision.

En ajoutant un autre accord plus petit avec CoreWeave, le journal financier étasunien remarque même qu’OpenAI arrive même à la promesse [.PDF] de 100 milliards de dollars investis dans des data centers pour une puissance de 5 gigawatts, cette année.

Rappelons, par contre, que si l’entreprise de Sam Altman revendiquait en juin dernier 10 milliards de dollars d’activité, en octobre 2024, elle ne prévoyait déjà pas d’être rentable avant 2029.

Récemment, l’entreprise affichait ses velléités de s’affranchir de Microsoft en menaçant même de procès pour abus de position dominante concernant certaines clauses de leur contrat.

• Tensions entre OpenAI et Microsoft sur fond d’accusation d’abus de position dominante

Ces difficultés entre OpenAI et SoftBank pourraient toutefois remettre en question le modèle d’accord rapidement copié en France avec une annonce du même ordre par Emmanuel Macron un mois après son homologue étasunien. Le président français avait indiqué « 109 milliards d’euros » d’investissements « dans les prochaines années ».

La nouvelle mouture de Firefox ne brillera pas par ses nouveautés visibles, la plupart des améliorations étant situées sous le capot. Sous Linux, le navigateur utilise ainsi un peu moins de mémoire vive et ne requiert plus un redémarrage forcé après sa mise à jour par un gestionnaire de paquets.

L’autre « grande » nouveauté de Firefox 141, c’est la prise en charge de WebGPU, d’abord dans la version Windows. Les moutures Mac et Linux seront concernées dans les mois qui viennent, comme l’indiquait récemment Mozilla. WebGPU est pour rappel l’API héritière de WebGL et exploite les API de plus bas niveau sur les systèmes hôtes pour aller plus loin dans l’utilisation de la carte graphique.

• Firefox 141 pour Windows intègrera l’API WebGPU

Parmi les autres nouveautés, Firefox 141 propose d’utiliser l’IA (locale) pour « suggérer des onglets et des noms pour les groupes d’onglets ». Le navigateur peut ainsi pointer visuellement plusieurs onglets pour proposer de les regrouper et de nommer le tout. Cette fonction est cependant déployée progressivement et n’est donc pas disponible partout. Activée par défaut, elle peut être coupée dans les paramètres du navigateur.

Si vous utilisez les onglets verticaux, vous pouvez désormais modifier la taille de la zone réservée aux outils, située en bas à gauche. Sous Windows, on note la reprise des icônes de polices fournies par le système pour augmenter la cohérence graphique. Le nouveau Firefox permet également d’utiliser la barre d’adresses pour convertir les unités. Quant au remplissage automatique des adresses, il est désormais disponible au Brésil, en Espagne et au Japon.

Côté développeurs, Firefox 141 signe surtout le retour du support de CHIPS (Cookies Having Independent Partitioned State).

Enfin, Firefox 141 colmate 18 failles de sécurité, dont 6 critiques.

Notre-Dame du Cloud

Microsoft poursuit son opération de séduction en Europe avec l’annonce de deux initiatives. D’abord, un travail spécifique sur les langues européennes pour augmenter leur représentativité dans les modèles d’IA générative. Ensuite, une numérisation complète de la cathédrale Notre-Dame de Paris, dans le cadre de son programme Culture AI.

Face aux tensions géopolitiques, aux étincelles provoquées par les DMA et DSA ou encore aux questions de souveraineté, Microsoft applique une méthode de « bon élève pragmatique ». La société américaine tâche de ne pas faire de vagues et d’appliquer le cadre juridique sans trop contester. Elle a par exemple rationalisé son offre cloud pour proposer le même type d’infrastructure que pour Bleu (la coentreprise Capgemini-Orange), a priori non soumis à l’extraterritorialité des lois américaines.

• Microsoft décline le cloud « souverain » en 50 nuances de Bleu Azure

Dans cette optique, et toujours dans le cadre des engagements envers l’Europe annoncé le 16 juin, Microsoft présente plusieurs initiatives, dont une visant à « combler le fossé linguistique » existant dans les grands modèles de langage actuellement, selon l’éditeur.

Cap sur les LLM multilingues

D’après Microsoft, la domination actuelle de l’anglais dans les contenus en ligne peut créer un problème de représentativité linguistique. « Une grande partie de ce contenu reflète une perspective américaine », indique Microsoft. Le problème serait particulièrement visible en Europe, le Vieux continent comptant plus de 200 langues. « L’IA qui ne comprend pas les langues, l’histoire et les valeurs de l’Europe ne peut pas servir pleinement ses citoyens, ses entreprises ou son avenir », affirme l’entreprise.

« L’Union européenne compte 24 langues officielles, auxquelles s’ajoutent des dizaines d’autres reconnues au niveau national ou régional. Pourtant, nombre de ces langues – même celles qui font partie des 24 langues officielles, comme le danois, le finnois, le suédois et le grec – représentent moins de 0,6 % du contenu du web. D’autres, comme le maltais, l’irlandais, l’estonien, le letton et le slovène, sont à peine visibles en ligne. Alors que seulement 5 % de la population mondiale parlent l’anglais comme première langue, les textes en anglais représentent la moitié du contenu des sites web et dominent les données utilisées pour former les modèles d’intelligence artificielle »

Pour illustrer le problème, Microsoft dégaine les résultats sur le modèle open source Llama 3.1 de Meta. Particulièrement à l’aise avec l’anglais, les performances du modèle deviennent moyennes en grec, voire franchement mauvaises en letton.

Données librement accessibles

La solution proposée ? Utiliser ses centres de recherche à Strasbourg et ses employés pour constituer des réserves linguistiques associées à chaque langue parlée en Europe, afin de créer un socle d’entrainement pour les modèles. Microsoft déploie ici tout son charme, faisant miroiter l’explosion des possibilités face à l’élimination des barrières linguistiques, des IA plus en phase avec les spécificités de chaque pays, ou encore la préservation de langues classées comme en danger par l’UNESCO, comme le breton, l’occitan et le romanche.

Microsoft indique qu’elle va collaborer avec des partenaires dans toute l’Europe (entreprises, universités, dont celle de Strasbourg) et mettre à disposition les ressources de son Open Innovation Center (MOIC) et de son AI for Good Lab à Strasbourg. Viendra s’y ajouter une équipe de « 70 ingénieurs, scientifiques des données et professionnels de la politique de Microsoft ».

Tout ce petit monde commencera par exploiter le stock de données multilingues de Microsoft, pour le rendre accessible librement en Europe, y compris aux développeurs de logiciels libres, promet l’entreprise. Ces données seront notamment disponibles sur Hugging Face. Un partenariat avec Common Crawl permettra de financer des travaux chez ce dernier, dont la participation de locuteurs natifs pour « pour annoter et ensemencer des données en langues européennes dans l’ensemble de données Common Crawl accessible au public ».

Une opération qui devrait certes aider à augmenter la représentativité des langues européennes, mais qui contribuera également à fournir des données fraiches à Microsoft pour l’entrainement de ses modèles. L’éditeur promet cependant que toutes ces données seront accessibles publiquement. Elles pourront servir, en théorie, à l’entrainement d’autres modèles de la concurrence.

Un jumeau numérique de Notre-Dame

Microsoft, qui se pose en champion de la culture en Europe, a également annoncé une extension de son programme Culture AI. Dans le cadre de ce dernier, un jumeau numérique de la cathédrale Notre-Dame de Paris va être réalisé en « haute fidélité ».

L’entreprise ne se lance pas seule dans ce projet. Elle s’est associée au ministère français de la Culture et à la société Iconem, spécialisée dans ce domaine. À noter que le programme Culture AI de Microsoft ne s’occupe jamais directement de la création de ces jumeaux numériques. Il finance des opérations conjointes pour le patrimoine historique. Ces projets ont débouché notamment sur des jumeaux de l’ancienne Olympie en Grèce, du mont Saint-Michel, de la basilique Saint-Pierre de Rome ou encore de certains lieux emblématiques du débarquement des alliés en Normandie.

Microsoft promet que ce jumeau « préservera en permanence sous forme numérique chaque détail de Notre-Dame, garantissant ainsi que sa structure, son histoire et son symbolisme seront protégés et accessibles pour les générations à venir ». La copie sera donnée à l’État français et exploitée notamment dans le futur musée Notre-Dame de Paris.

Tous azimuts sur la culture

En parallèle, l’entreprise américaine annonce plusieurs autres partenariats. Avec la Bibliothèque nationale de France et Iconem, Microsoft va par exemple numériser 1 500 maquettes cinématographiques provenant de spectacles à l’Opéra National de Paris entre 1800 et 1914. Les données alimenteront des programmes éducatifs et seront mises à disposition de la plateforme Gallica de la BNF. Avec le Musée des Arts Décoratifs, Microsoft va également des descriptions numériques détaillées d’environ 1,5 million d’objets du Moyen-Âge.

Microsoft affirme présenter ces « nouvelles mesures avec humilité et respect ». L’entreprise dit reconnaitre « que la préservation de la diversité linguistique et culturelle de l’Europe est une tâche qui incombe aux Européens et qui doit être menée par les Européens ». Elle se place ainsi dans un rôle de prestataire d’arrière-plan, avec à la clé, peut-être, une hausse de sa cote de popularité.

Meta guerre

Des publicités d’appels aux dons pour financer des équipements militaires et le soutien moral à l’armée israélienne circulent sur Facebook, Instagram et Threads, alarme l’association étasunienne Ekō. Ces appels aux dons auraient permis de lever plus de 2 millions de dollars pour des équipements militaires comme des drones.

Sur Facebook, les utilisateurs du réseau social peuvent tomber sur des publicités pour des appels aux dons pour l’armée israélienne.

« Nous sommes l’équipe de snipers de l’unité Shaked, stationnée à Gaza, et nous avons besoin de toute urgence de trépieds de tir pour mener à bien notre mission à Jabalia », affirme l’une d’entre elles, explique le Guardian. Nous avons pu retrouver un message du même auteur avec le même contenu publié le 16 janvier 2025 et qui est encore en ligne.

117 publicités de ce genre depuis mars 2025

La publicité, accompagnée d’une vidéo, renvoie vers une page de campagnes de dons hébergées par thechesedfund.com. Outre l’appel aux dons pour l’unité de snipers de l’armée israélienne, cette page propose de financer de la musique et des barbecues pour les soldats.

L’association étasunienne Ekō en a repéré au moins 117 depuis mars 2025, explique The Guardian. Mais elle avait déjà repéré ce genre de publicité en décembre 2024, comptant à ce moment-là 98 autres publicités renvoyant vers ces appels aux dons. Dans son document [PDF] publié fin 2024, l’association détaillait les publicités qui ciblaient différents pays européens, dont la France.

Des campagnes pour financer des drones modifiables pour larguer des grenades

Elle donnait l’exemple d’une campagne pour « un appel à financer un drone thermique à 8 000 dollars pour un soldat retournant à Gaza ». Celui-ci a pu être diffusée du 1er juillet 2024 au 6 septembre 2024. Facebook indique l’avoir ensuite suspendue « car [sa] technologie ou [ses] équipes ont déterminé qu’il ne respectait pas [ses] règles sur : Publicités portant sur un enjeu social, électoral ou politique ». Entre temps, selon les informations de Facebook, elle a été affichée entre 15 000 et 20 000 fois.

Si Facebook évoque cette règle, sa politique indique aussi que l’entreprise n’autorise pas le contenu qui « tente d’acheter, de vendre ou d’échanger des armes à feu, des pièces d’armes à feu, des munitions, des explosifs ou des améliorations à visée meurtrière » ou qui « tente de faire don d’armes à feu, de pièces d’armes à feu, de munitions, d’explosifs ou d’améliorations à visée meurtrière, ou d’en offrir ».

Elle admet des exceptions pour des « entités physiques légitimes ». Mais, l’un des deux diffuseurs repérés par Ekō, Mayer Malik, se présente comme un musicien basé en Israël. Celui-ci aurait collecté plus de 2,2 millions de dollars de dons pour l’armée israélienne.

L’autre est l’association Vaad Hatzedaka. Celle-ci aurait levé plus de 250 000 dollars sur les 300 000 qu’elle s’était fixée pour fournir, entre autres, des drones, selon la page de dons que le Guardian a consultée.

Comme l’explique le Guardian, il n’est pas établi que ces fonds ont bien été versés aux soldats ou à l’armée israélienne. Mais, selon une enquête des médias + 972 Magazine et Local Call, les soldats israéliens utilisent abondamment de modèles EVO de drones Autel produits en Chine pour une utilisation civile de photographie aérienne. « Grâce à un accessoire militaire connu sous le nom de « boule de fer », une grenade peut être fixée au drone et larguée en appuyant sur un bouton pour exploser au sol », explique + 972.

Dario Amodei, CEO d’Anthropic, aurait admis dans un message publié sur le Slack interne de l’entreprise qu’il n’était pas fermé à accueillir des fonds venus des Émirats arabes unis ou du Qatar, même si le fait d’accepter ces investissements risquait de contribuer, à terme, à enrichir des « dictateurs ».

« C’est un véritable inconvénient et je n’en suis pas ravi », aurait précisé Dario Amodei, avant d’ajouter : « malheureusement, je pense qu’on ne peut pas gérer une entreprise en appliquant le principe du « aucune mauvaise personne ne devrait bénéficier de notre succès » ».

Ce propos daté du dimanche 20 juillet, qui n’avait a priori pas vocation à être rendu public, a été révélé par Wired dans un article publié lundi.

D’après la description qu’en fait le magazine, Dario Amodei profitait de ce mémo pour peser le pour et le contre au sujet d’une ouverture du capital d’Anthropic aux structures d’investissement des États du Moyen-Orient.

Dario Amodei affirmait en octobre dernier dans un essai que les IA les plus puissantes devaient rester l’apanage des démocraties, pour éviter que des régimes autoritaires en prennent le contrôle. Quelques mois plus tôt, il avait, selon CNBC, fermé la porte au fonds souverain d’Arabie saoudite, qui se portait candidat pour acquérir les actions Anthropic détenues par la société FTX avant l’effondrement de cette dernière.

La donne aurait donc changé. « Si nous voulons rester à la pointe de la technologie, l’accès à ce capital est un atout majeur », évoquant un fonds disposant d’une enveloppe de l’ordre de 100 milliards de dollars.

S’agit-il de MGX, le fonds souverain émirati qui participe déjà aux 500 milliards de dollars prévisionnels d’investissement programmés par OpenAI ? Dario Amodei ne le précise pas, mais il explique que refuser d’aller au Moyen-Orient ou manquer l’opportunité que constituent les perspectives d’investissement dans des infrastructures locales mettrait la société dans une situation concurrentielle complexe.

« En fait, cela pourrait avoir des avantages importants pour le monde, notamment en améliorant la santé humaine, en contribuant au développement économique, etc. », veut-il encore croire.

Dans la foulée du voyage organisé par Donald Trump au Moyen-Orient pour renforcer les liens commerciaux avec la région, OpenAI s’est engagée à participer à un partenariat commercial plus large entre les États-Unis et les Émirats arabes unis, signé le 15 mai dernier, qui prévoit, entre autres, que l’administration Trump soutienne la création de 5 GW d’infrastructures dédiées à l’IA hébergées par les sept émirats.

• OpenAI courtise les Émirats arabes unis (mais pas de ChatGPT Plus gratuit pour tous)

Personne ne s'en plaindra

La prochaine version majeure 25H2 de Windows 11 se dessine progressivement. Microsoft vise un plus faible nombre de nouveautés qu’avec la 24H2, mais promet des travaux sur les performances et la fiabilité, notamment des pilotes tiers.

Windows 11 a pour l’instant eu du mal à s’imposer face à son grand frère Windows 10, même si le temps finit par lui donner les parts de marché tant désirées. Alors que la fin du support technique de Windows 10 se rapproche (14 octobre 2025), Microsoft peine toujours à convaincre des avantages de son dernier système. C’est tout particulièrement vrai sur les terrains des performances et de la fiabilité.

De nouveaux journaux de performances pour les testeurs

Pour les performances, Microsoft est à la recherche d’informations supplémentaires. Dans les dernières préversions du système (canaux Dev et Beta) apparues il y a quelques jours, l’éditeur a ajouté un mécanisme pouvant créer de nouveaux journaux quand le PC affiche de mauvaises performances et semble « paresseux ».

La création de ces journaux n’implique cependant pas leur envoi. Les testeurs inscrits au programme Insider sont invités à se rendre sur l’application Hub de commentaires (Feedback Hub) et à donner un maximum d’informations sur la situation qui a provoqué cette chute de performances. Les journaux seront alors collectés et envoyés à la validation du signalement.

« Utilisez la catégorie Desktop > System Sluggishness lorsque vous faites part de vos commentaires pour permettre à Feedback Hub de collecter automatiquement ces journaux. Ces journaux sont stockés localement (dossier %systemRoot%\Temp\DiagOutputDir\Whesvc) et ne sont envoyés à Microsoft via Feedback Hub que lorsque des commentaires sont soumis », explique l’entreprise.

Analyse statique renforcée pour les nouveaux pilotes

La mise à jour 25H2, attendue cet automne, entrainera également des changements pour les pilotes, particulièrement avec ceux disposant d’un composant en espace noyau. Autrement dit, les pilotes graphiques.

La certification des pilotes se passe habituellement en deux temps. D’abord, une analyse statique, pour examiner le code à froid, avant son exécution. Puis vient l’analyse dynamique, qui examine le comportement du code exécuté. Dans un billet publié le 16 juillet, Microsoft a ainsi annoncé un renforcement du test statique, qui doit désormais utiliser la dernière version de CodeQL. Le pilote doit ainsi passer avec succès le Static Tools Logo Test pour espérer recevoir la certification Hardware Compatibility Program (WHCP).

CodeQL est un moteur d’analyse statique développé par GitHub et dont Microsoft se sert depuis quelques années. Comme le rappelle Neowin notamment, CodeQL a vu son utilisation renforcée depuis la grande proclamation de la Secure Future Initiative, le chambardement interne chez Microsoft décidé après la grande panne CrowdStrike. Il est ainsi prévu que CodeQL finisse par être utilisé sur la totalité de ses produits commerciaux.

Pour les sociétés tierces impliquées, cela signifie pour l’instant utiliser la version 2.22.1 au moins de CodeQL CLI et la mouture 1.6.0 du Windows Drivers CodeQL Query Pack.

Rappelons que les pilotes tiers jouent un grand rôle dans la stabilité de Windows. Depuis Windows 7 notamment, Microsoft impose des règles strictes, dont l’interdiction de l’espace noyau. Seules quelques rares exceptions sont possibles, comme les pilotes graphiques. Le mois dernier, on apprenait ainsi que l’éditeur allait lancer un grand coup de balai dans Windows Update pour se débarrasser des plus vieux pilotes.

Sous le feu d’une enquête formelle de la Commission européenne pour abus de position dominante, le fabricant américain Corning, spécialisé dans les verres durcis à destination, notamment, de la téléphonie mobile, a réussi à éviter l’amende. Dans un communiqué daté du 18 juillet, Bruxelles indique avoir accepté les engagements formulés par Corning, mais prévient toutefois : un manquement pourrait être sanctionné à hauteur de 10 % du chiffre d’affaires annuel de l’entreprise, ou une astreinte à hauteur de 5 % de ce même chiffre d’affaires par jour de non-conformité.

L’accord prévoit principalement que le fabricant des verres Gorilla Glass mette un terme à toutes les clauses d’exclusivité négociées avec des constructeurs (marques commerciales ou OEM) et s’engage « à ne pas utiliser de telles clauses ou des clauses similaires ayant le même effet dans des accords futurs ». L’entreprise se dit également prête à ne plus exiger de ses clients qu’ils se fournissent obligatoirement à plus de 50 % auprès d’elle.

À ces engagements pris pour le monde entier, Corning ajoute une promesse liée plus spécifiquement au marché européen : l’entreprise accepte ainsi de ne plus subordonner la vente de ses verres les plus haut de gamme à des engagements de volumes minimums. En cas de litige relatif à sa propriété intellectuelle, Corning indique également accepter de « fonder ses revendications uniquement sur la violation de brevet, et non sur une rupture de contrat ».

Ces propositions tolèrent toutefois une exception, et non des moindres : les verres de protection développés spécifiquement par Corning pour Apple. Considérés comme une commande ad hoc, ils ne rentreraient pas dans le champ des produits pour lesquels cette proposition d’accord se révèle pertinente.

La Commission s’est dite satisfaite de ces engagements, et « a donc décidé de les rendre juridiquement contraignants pour Corning », pour une durée de neuf ans et avec une application dans le monde entier.

En 2024, les activités liées à l’affichage et aux verres de protection représentaient 3,8 milliards de dollars, sur un total de 13,12 milliards de dollars de chiffre d’affaires annuel pour le groupe Corning.

Gilles Dowek, chercheur en informatique, est mort à l’âge de 58 ans d’un cancer, ce lundi 21 juillet, a annoncé Le Monde.

Sur son site, il expliquait s’intéresser « à la formalisation des mathématiques, aux systèmes de traitement des démonstrations, à la physique du calcul, à la sûreté des systèmes aéronautiques et spatiaux, et à l’épistémologie et à l’éthique de l’informatique ».

Fin 2023, il était récompensé du Grand Prix Inria – Académie des sciences pour sa « carrière exemplaire ». L’institut de recherche en informatique le présentait à cette occasion comme un « explorateur des méthodes formelles ».

Travaillant autour des langages utilisés pour l’assistant de preuve Rocq (anciennement Coq), il expliquait à Inria : « Une vingtaine de langages de preuve sont employés actuellement, ce qui pose de mon point de vue des enjeux d’universalité et de partage. La notion de vérité mathématique est un universel anthropologique, que nous devons essayer de préserver, en veillant à ce que les preuves effectuées puissent être lues partout ».

Avec son équipe Deducteam, il développait un nouveau cadre logique. « Dénommé Dedukti (ce qui signifie « déduire » en Esperanto), [celui-ci] permet d’exprimer des théories et des logiques communes pour les différents systèmes. Nous traduisons en Dedukti les principales fonctionnalités de chaque assistant de preuve », indiquait-il.

Il a vulgarisé les enjeux de l’informatique à travers plusieurs livres et dans des articles de vulgarisation parus notamment dans Pour la Science. Membre du Conseil national du numérique, il avait aussi été l’une des chevilles ouvrières du comité consultatif national d’éthique du numérique (CNPEN), relève Le Monde.

Il s’intéressait beaucoup aux enjeux d’éthique en informatique. « Gilles était un moteur dans la façon de réfléchir à ces questions. Sa clarté de vue, son originalité et sa façon d’expliquer les choses ont marqué plusieurs avis. Sa disparition est une perte importante pour la communauté scientifique mais aussi pour la communauté de l’éthique du numérique », témoigne dans les pages du Monde le président du Comité consultatif national d’éthique du numérique et chercheur émérite d’Inria, Claude Kirchner.

Homosexuel engagé, Gilles Dowek avait aussi présidé, en 1999, l’Association pour la reconnaissance des droits des personnes homosexuelles et trans à l’immigration et au séjour (Ardhis).

There's a starman waitin' in the sky

L’Arcep a publié lundi la décision par laquelle elle autorise Amazon à opérer, en France, son réseau de satellites en orbite basse Kuiper. Cette décision, qui ouvre la voie à un lancement commercial de l’offre, soulève toutefois quelques inquiétudes chez les autres acteurs du satellite.

Cette fois, c’est la bonne ? Après la délivrance des autorisations relatives aux stations au sol, l’Arcep a formellement donné son feu vert à l’exploitation, par Amazon Kuiper, des bandes de fréquence qui doivent permettre à l’entreprise d’opérer son service d’accès à Internet par satellite. La décision correspondante est datée du 15 avril, mais elle a été rendue publique lundi 21 juillet.

« La société Amazon Kuiper Services Europe SARL est autorisée à utiliser, en France métropolitaine, les fréquences radioélectriques des bandes 28,5 - 28,9485 GHz (sens Terre vers espace) ainsi que des bandes 17,7 - 18,6 GHz et 18,8 - 19,3 GHz (sens espace vers Terre) pour établir et exploiter un réseau ouvert au public du service fixe par satellite afin de fournir des services de communications pour des stations terriennes fixes fonctionnant avec un système à satellites non-géostationnaires », écrit l’Autorité.

L’autorisation en question est accordée pour une durée de dix ans. Elle s’assortit d’une obligation de non-interférence vis-à-vis des autres opérateurs amenés à exploiter ces fréquences, ou des bandes voisines. « La société Amazon Kuiper Services Europe SARL devra interrompre immédiatement toute activité liée à l’utilisation de ces fréquences si des brouillages étaient constatés », prévient l’Arcep.

Amazon vante une solution sûre et durable

En complément de sa décision, l’Arcep publie les contributions reçues dans le cadre de sa consultation préalable, à laquelle Amazon a logiquement participé pour défendre l’intérêt de son projet. L’entreprise américaine y vante en premier lieu un accès à Internet global, permettant d’offrir une connectivité haut débit jusque dans les zones blanches les plus reculées.

« Par ailleurs, la connectivité satellite Kuiper peut soutenir les plans de continuité d’activité des services publics et des entreprises, tout en fournissant une couverture temporaire aux communautés dépourvues de connexion en fibre optique terrestre », affirme Amazon, qui souligne également la façon dont sa constellation peut « renforcer les capacités des autorités », en cas de catastrophe naturelle.

• À Mayotte, François Bayrou promet 200 Starlink, la 5G dans 6 mois et la fibre dans 2 ans

Kuiper défend également une approche « responsable » de l’accès à l’espace, avec des satellites susceptibles d’être désorbités en fin de vie, et la promesse d’une « collaboration avec la communauté des radioastronomes afin de réduire les impacts potentiels liés aux interférences lumineuses et radioélectriques ».

L’impact réel de Kuiper en la matière reste toutefois difficile à évaluer, dans la mesure où la constellation n’est pas encore déployée. Rappelons qu’Amazon prévoit trois groupes de satellites, pour un total de 3 236 appareils, placés à une altitude comprise entre 590 et 630 km, avant d’envisager une seconde salve qui porterait la constellation à plus de 7 000 satellites.

• Les satellites de Starlink sont « une menace pour les observations astronomiques »

Amazon ne manque enfin pas de rappeler qu’outre sa promesse de connectivité, Kuiper va très directement profiter au secteur spatial européen, puisque l’entreprise est aujourd’hui le premier client privé de la fusée Ariane 6, avec un contrat qui prévoit 18 lancements sur trois ans.

Un point qu’Arianespace confirme dans sa propre contribution. « Sur les 10,3 milliards d’euros investis dans le projet Kuiper, environ 2,6 milliards – soit 26 % – seront directement injectés dans le secteur spatial européen entre 2022 et 2029. Ariane 6 et l’ensemble de sa chaîne industrielle bénéficieront très concrètement de ces investissements », fait valoir la société française.

Des concurrents nettement moins enthousiastes

Du côté des opérateurs satellite déjà installés, l’accueil se révèle sans surprise plus frileux, même si aucune opposition de principe n’est formulée, libre concurrence oblige. Eutelsat, qui vient de lever des fonds auprès des États français et britanniques pour préparer le déploiement de sa propre constellation en orbite basse, insiste par exemple sur le respect des obligations formulées par l’Union Internationale des Télécommunications (UIT) en matière de brouillage.

L’entreprise, qui a manifestement été entendue par l’Arcep, glisse au passage que Kuiper « n’a fourni aucune preuve de la conformité de l’ensemble du système (3 232 satellites) » avec les limites fixées par l’UIT. Elle alerte donc sur la nécessité de surveiller de près le respect des limites d’EPFD (limites de puissance surfacique équivalente) qui permettent de quantifier ces risques d’interférences, notamment vis-à-vis de ses satellites géostationnaires.

L’entreprise américaine de télécommunications par satellite Viasat va un cran plus loin dans la démonstration. Elle affirme que si Amazon a fourni à l’UIT les données individuelles relatives aux futurs satellites de Kuiper, aucune étude d’impact sur la totalité de la constellation n’a été réalisée pour attester de son innocuité sur les autres opérateurs. Qu’à cela ne tienne : elle réalise donc sa propre simulation, sur la base d’une installation basée à Lyon et affirme, sur cette base, que « le système n’est pas conforme aux exigences de la licence telles qu’elles sont définies par l’ARCEP ». Viasat n’exige aucun refus d’opérer, mais demande des restrictions sur le nombre de faisceaux desservant simultanément un emplacement.

L’Avicca (Association des villes et collectivités pour les communications électroniques et l’audiovisuel) souligne de son côté les mérites de l’accès à Internet par satellite, mais alerte sur les dépenses énergétiques associées, et sur les questions de souveraineté afférentes. « Des impératifs de sécurité intérieure pourront nécessiter une surveillance des matériels, données et exploitations qui en sont faites, s’agissant particulièrement d’opérateurs non-européens », soulève l’association.

Amazon a pour mémoire commencé en avril dernier le déploiement des premiers satellites (hors prototypes) de sa constellation Kuiper, qui ambitionne de fournir un accès à Internet à plus de 400 millions de personnes dans le monde, avec des débits allant jusqu’à 400 Mb/s grâce à un terminal vendu moins de 400 dollars.

Joli sac de nœuds

À la fin de l’hiver, le parquet de Paris a ouvert une enquête contre X pour des soupçons de manipulation de son algorithme, à des fins d’ingérence. La justice française a demandé à voir les algorithmes. Refus catégorique de X, qui accuse la France d’utiliser son enquête à des fins politiques.

C’est une affaire complexe. Le 12 janvier dernier, deux signalements ont été faits à la section de lutte contre la cybercriminalité du parquet de Paris. Le premier provenant du député Éric Bothorel, l’autre « d’un haut responsable d’une institution publique française ». Tous deux faisaient état « de l’utilisation supposée de l’algorithme de X (ex-Twitter) à des fins d’ingérence étrangère ».

Le 11 juillet, le parquet a annoncé dans un communiqué (PDF) avoir confié à la gendarmerie nationale une enquête ouverte à l’encontre de X, décision prise sur la base de « vérifications, de contributions de chercheurs français et d’éléments apportés par différentes institutions publiques ». L’enquête vise aussi bien la personne morale que les personnes physiques et porte notamment sur deux types d’infractions : l’altération du fonctionnement d’un système de traitement automatisé de données et l’extraction frauduleuse de données d’un système de traitement automatisé. Le tout en bande organisée.

« Vives inquiétudes » contre « considérations politiques »

Dans un article du Monde daté du 7 février, on pouvait lire les éléments communiqués par le député Éric Bothorel au parquet de Paris. Il y exprimait ainsi de « vives inquiétudes concernant les récents changements d’algorithmes sur la plateforme (Twitter) X, ainsi que les ingérences apparentes dans sa gestion depuis son acquisition par Elon Musk ». Il dénonçait également les « interventions personnelles d’Elon Musk dans la gestion de sa plateforme », constituant « une menace pour nos démocraties ».

Le second signalement provenait d’un directeur de la cybersécurité travaillant dans la fonction publique, selon le Canard enchaîné. Il y dénonçait « une modification majeure dans l’algorithme utilisé par la plateforme X qui propose aujourd’hui énormément de contenus politiques haineux, racistes, anti-LGBT +, homophobes et qui visent donc à biaiser le débat démocratique en France ».

X, sur son réseau, a vivement réagi. Le réseau a dénoncé aujourd’hui une enquête « motivée par des considérations politiques, concernant la prétendue manipulation de l’algorithme de X et une prétendue extraction frauduleuse de données ». Sans surprise, l’entreprise « nie catégoriquement ces allégations ».

Pour le réseau, cette enquête « porte gravement atteinte au droit fondamental de X à une procédure équitable et menace le droit à la vie privée de nos utilisateurs et la liberté d’expression. M. Bothorel a accusé X de manipuler son algorithme dans un but d’ « ingérence étrangère”, une allégation totalement fausse ».

L’affaire se complique

Plusieurs éléments clochent, selon X. Le parquet a requis l’accès à l’algorithme de recommandations, dans le but d’examiner d’éventuelles modifications. Selon X, un tel accès confèrerait à la gendarmerie un accès à l’ensemble des publications de tous les utilisateurs.

La société est surtout troublée par l’idée selon laquelle ces données seraient analysées par un panel d’experts, dont ferait partie le mathématicien et chercheur au CNRS David Chavalarias. Or, ce dernier est à l’origine de la campagne HelloQuitteX, qui vise à simplifier la récupération des données de X pour les transvaser sur Bluesky et Mastodon, et aujourd’hui renommée Escape X. Le spécialiste de l’IA Maziyar Panahi, également chercheur au CNRS, est lui aussi dans la ligne de mire du réseau, pour avoir « participé avec David Chavalarias à des projets de recherche ouvertement hostiles à X ».

« L’implication de ces personnes soulève de sérieuses inquiétudes quant à l’impartialité, l’équité et les motivations politiques de cette enquête, pour le moins. Une enquête dont le résultat est prédéterminé n’est pas équitable », fustige le réseau.

En outre, X est qualifié de « bande organisée, ce que l’entreprise n’apprécie guère. « Cette qualification, qui est normalement réservée aux cartels de trafiquants de drogue ou aux groupes mafieux, permet à la police française d’avoir recours à des pouvoirs d’investigations étendus, y compris le placement sur écoute des téléphones personnels des salariés français », s’insurge-t-elle.

Enfin, X ajoute ne pas connaitre les allégations précises portées contre elle, mais pense savoir que l’enquête « repose sur une application détournée du droit français, afin de servir un agenda politique et, finalement, de restreindre la liberté d’expression ». La manœuvre est qualifiée dans l’ensemble de « censure politique ». Le Monde, de son côté, évoque une « innovation juridique », le signalement d’Eric Bothorel s’appuyant sur une analyse du juriste Michel Séjean. Selon ce dernier, fausser le fonctionnement d’un algorithme de recommandation sur un réseau social revient à un piratage informatique, avec à la clé les mêmes sanctions.

En conséquence, X indique ne pas avoir donné suite aux demandes de la justice française.

Elon Musk, l’Allemagne et l’Europe

Le contexte est d’autant plus trouble qu’Elon Musk, à la tête du réseau social, a largement fait parler de lui pendant la première moitié de cette année. Outre ses actions en tant que grand responsable du DOGE et conseiller de Donald Trump à la Maison-Blanche, il s’est fait connaitre pour ses prises de position controversées, notamment en Allemagne. Il a affiché publiquement son soutien pour le parti d’extrême-droite AfD, qu’il estimait seul à pouvoir « sauver l’Allemagne ».

Comme on peut souvent le lire sous les publications du député Éric Bothorel sur X, beaucoup estiment que c’est à l’Europe de se charger de ces enquêtes et contrôles. La Commission européenne enquête bel et bien sur le réseau social pour évaluer son respect du Digital Services Act.

Cependant, selon un article du Financial Times paru le 17 janvier, la Commission aurait mis en pause son enquête. Le média cite « trois fonctionnaires au fait du dossier », selon lesquels la décision ne serait prise qu’après les négociations qui s’annoncent entre l’Europe et les États-Unis, la Maison-Blanche ayant remis au 1^ᵉʳ aout sa décision sur d’éventuels droits de douane de 30 % pour les produits européens.

Rappelons que la surveillance exercée par la Commission européenne sur les grandes entreprises de la tech est l’une des pierres d’achoppement entre l’Union et les États-Unis. Le DMA et le DSA sont largement dans le collimateur de la Maison-Blanche. Pour Donald Trump, les sociétés américaines ne devraient être régulées que par des lois américaines. Lois américaines qui, pour certaines, ont une portée extraterritoriale, empêchant notamment Microsoft de garantir que les données hébergées sur ses serveurs Azure ne quitteront jamais les frontières de l’Union.

• Entre l’Europe et les États-Unis, le torchon brûle autour du DMA et du DSA

La semaine dernière, l’ICANN interpelait le gouvernement et la justice mauriciens quant à la demande de liquidation de l’AfriNIC effectuée officiellement par le broker d’IP Cloud Innovation.

Vendredi 18 juillet, le premier ministre de Maurice, Navinchandra Ramgoolam, a publié un avis général [PDF] désignant l’AfriNIC comme une « société déclarée » selon l’article 230 de la loi sur les sociétés, explique le média sud africain MyBroadBand. Comme le disent nos collègues, les conséquences de cette décision ne sont pas claires.

• La guerre des IPv4 en Afrique menace la gestion mondiale d’Internet

Si l’article 240 fait référence à la suspension des poursuites à l’encontre de la société déclarée, certains membres de l’AfriNIC l’interprètent comme la suspension de toutes les poursuites mais d’autres pensent que cette suspension ne s’applique qu’aux poursuites sur le passif comptable.

Néanmoins, cet acte officialise la prise en main du dossier par le gouvernement de Maurice. Pour expliquer sa décision, Navinchandra Ramgoolam évoque dans son avis le fait que l’AfriNIC est désigné comme registre régional de l’internet pour le continent africain.

Comme une réponse à l’ICANN, il ajoute aussi qu’il a été « informé que la procédure qui a conduit à la mise sous séquestre de l’entreprise est juridiquement contestable » et que « la mise sous séquestre de la société a eu pour conséquence qu’aucune nouvelle adresse de protocole Internet n’a pu être attribuée à l’ensemble du continent africain depuis novembre 2024 ».

Dans ce texte, le premier ministre mauricien ajoute même que « cet état de fait a causé, et continue de causer, une grave atteinte à la réputation de l’île Maurice en tant que juridiction au niveau international ».

Vous utilisez l’IA générative pour préparer un entretien d’embauche ? Selon votre genre, armez-vous d’un esprit critique bien affuté. Si vous êtes une femme, selon une étude menée sur cinq modèles génératifs (Claude 3.5 Haiku, GPT-4o Mini, Qwen 2.5 Plus, Mistral 8x22B, Llama 3.1 8B), les robots conversationnels risquent en effet de vous pousser à… vous desservir par rapport à vos collègues masculins. 

Menée par Ivan Yamshchikov, enseignant d’IA et de robotique à l’université technique de Würzburg-Scheinfurt, en Allemagne, et cofondateur de la start-up franco-allemande Pleias, l’étude a notamment consisté à demander des montants de salaires à négocier lors d’un entretien d’embauche, selon le genre et selon différents degrés de séniorité. Dans un exemple partagé à la newsletter TheNextWeb, le chercheur demande à ChatGPT quel salaire demander en entretien pour un poste de médecin dans la ville de Denver. La machine propose 280 000 dollars lorsque son interlocuteur se fait passer pour une femme, 400 000 dollars lorsqu’il se fait passer pour un homme. 

En droit, en médecine ou en ingénierie, l’écart était toujours relativement marqué – seules les scénarios évoquant des carrières en sciences sociales ont permis d’obtenir des recommandations relativement neutres en fonction du genre. 

Mais les chercheurs ont aussi testé les réponses des machines sur les buts à se fixer dans le futur emploi, ou quant à l’attitude à adopter. Les modèles ont fourni des réponses très stéréotypées en fonction du genre : les femmes se voient suggérer d’être discrètes et compréhensives, les hommes d’être ambitieux et bavards. De même, en termes d’orientation de carrière, les premières se voient poussées vers des métiers liés au relationnel, et généralement moins bien payés que les hommes, qui se voient répondre de chercher des carrières techniques et des postes à haute responsabilité. 

Ces résultats viennent s’ajouter à une série d’autres travaux sur la question de la reproduction ou du renforcement de biais sociaux présents hors ligne. À aucun moment, les machines ne proposent de messages alertant leurs usagers et usagères de potentiels biais dans les résultats. 

Ces résultats en éclairent un autre, récurrent : celui selon lequel les femmes utilisent moins ChatGPT et les outils d’IA générative que les hommes. Sur les questions de recrutement, cela leur évite certainement de mauvais conseils.

• Peut-on corriger les biais des algorithmes ?

La partie de l’AI Act sur l’ « IA à usage général » entre en vigueur le 2 aout prochain. En publiant ses lignes directrices sur le sujet, la Commission européenne répond aux critiques des entreprises contre l’insécurité réglementaire qu’amènerait le règlement européen sur l’IA, en donnant des interprétations assez larges de certains termes, comme « open-source ».

Ce vendredi, la Commission européenne a publié ses lignes directrices concernant les modèles d’IA générative qu’elle classe dans la catégorie de l’ « IA à usage général ». L’idée est de clarifier, pour les entreprises d’IA comme Google, OpenAI, Meta, Anthropic, ou Mistral, la partie du texte de l’AI Act qui doit rentrer en application début aout. Ces lignes directrices sont ainsi une explication de texte de l’AI Act adressée à ces entreprises.

Cette clarification accompagne le « code de bonne conduite » que la commission a publié un peu plus tôt. Comme nous l’expliquions, ce code est très peu contraignant. Mais si Mistral a joué le bon élève en le signant, Meta a publiquement fait savoir qu’il ne l’avaliserait pas.

Des définitions pour clarifier la loi

Dans ses lignes directrices, la Commission donne enfin une définition de ce qu’elle appelle « IA à usage général ». Car, comme elle l’avoue elle-même en creux, l’AI Act en livrait une définition assez vague. Ici, au lieu de la définir exclusivement par ses capacités à générer des contenus de différents types (textes, images, vidéos, sons…), elle donne une approche quantitative des ressources utilisées pour entrainer le modèle en question.

Ainsi, « un critère indicatif pour qu’un modèle soit considéré comme un modèle d’IA à usage général est que les ressources de calcul pour son entrainement soient supérieures à 10²³ FLOP et qu’il puisse générer du langage (que ce soit sous forme de texte ou d’audio), du texte à l’image ou du texte à la vidéo ».

Les entreprises d’IA générative avaient apparemment besoin d’une clarification sur les termes de « fournisseur » d’ IA à usage général et de « mise sur le marché » d’une IA à usage général. La commission leur fournit donc des explications par l’exemple.

Ainsi, elle explique que :

• « Si l’acteur A développe un modèle d’IA à usage général et le met sur le marché, l’acteur A est le fournisseur.
• Si l’acteur A fait développer pour son compte par l’acteur B un modèle d’IA à usage général et que l’acteur A met ce modèle sur le marché, l’acteur A est le fournisseur.
• Si l’acteur A développe un modèle d’IA à usage général et le télécharge dans un référentiel en ligne hébergé par l’acteur C, l’acteur A est le fournisseur.
• Si un collaborateur ou un consortium fait développer un modèle d’IA à usage général par différentes personnes ou organisations et met le modèle sur le marché, c’est généralement le coordinateur du collaborateur ou du consortium qui est le fournisseur. Le collaborateur ou le consortium peut également être le fournisseur. Cette situation doit être évaluée au cas par cas ».

Concernant la mise sur le marché :

• un modèle d’IA à usage général est mis à disposition pour la première fois sur le marché de l’Union par l’intermédiaire d’une bibliothèque de logiciels ou d’un progiciel ;
• un modèle d’IA à usage général est mis à disposition pour la première fois sur le marché de l’Union par l’intermédiaire d’une API ;
• un modèle d’IA à usage général est uploadé pour la première fois sur un catalogue, une plate-forme ou un référentiel public en vue d’un téléchargement direct sur le marché de l’Union ;
• un modèle d’IA à usage général est mis à disposition pour la première fois sur le marché de l’Union sous la forme d’une copie physique ;
• un modèle d’IA à usage général est mis à disposition pour la première fois sur le marché de l’Union par l’intermédiaire d’un service de cloud computing ;
• un modèle d’IA à usage général est mis à disposition pour la première fois sur le marché de l’Union en étant copié sur l’infrastructure d’un client ;
• un modèle d’IA à usage général est intégré dans un chatbot mis à disposition pour la première fois sur le marché de l’Union via une interface web ;
• un modèle d’IA à usage général est intégré dans une application mobile mise à disposition pour la première fois sur le marché de l’Union via des magasins d’applications ;
• un modèle d’IA à usage général est utilisé pour des processus internes qui sont essentiels pour fournir un produit ou un service à des tiers ou qui affectent les droits des personnes physiques dans l’Union ».

Une IA « open-source » de façon large pour la Commission

La commission explique aussi ce qu’elle considère comme un modèle sous licence open-source et libre. Ainsi, elle propose une version assez large de la définition d’un modèle open-source. Contrairement à certaines demandes, elle affirme que, pour elle, pour qu’il soit qualifié d’ « open-source », un modèle à usage général ne doit pas « nécessairement révéler des informations substantielles sur les données utilisées pour son entraînement ou pour sa modification, ni sur la manière dont le respect du copyright a été assuré ».

Cette définition est plus large que celle donnée par l’OSI. Pour qualifier l’IA d’ « open-source », l’institution internationale exige, elle, une description « complète » des données utilisées pour entrainer le modèle.

• L’IA open-source a sa définition 1.0 qui exclut les modèles Llama de Meta

La commission affirme, par contre, que les licences qui imposeraient des usages non commerciaux, les limiteraient à la recherche ou qui interdiraient la distribution du modèle ne feront pas partie de ce qu’elle considère comme des licences de modèles « open-source ».. De même pour ceux qui imposeraient un nombre maximum d’utilisations gratuites ou l’utilisation d’une licence commerciale particulière pour des cas d’utilisation spécifique.

Enfin, la commission rappelle qu’elle considère que le code de bonne conduite sera un moyen simple pour juger de la conformité avec l’AI act, ce qui doit simplifier les démarches administratives des entreprises qui l’auront signé. Dans ses lignes directrices, la commission souligne qu’à partir du 2 aout 2026, elle pourra donner des amendes allant jusqu’à 15 millions d’euros ou 3% du chiffre d’affaires annuel mondial.

Avenir trouble pour Clear Linux

Engagé dans un processus drastique de réduction des coûts, Intel a annoncé vendredi l’arrêt, sans sommation, des mises à jour et de la maintenance assurées pour Clear Linux OS. Le géant des semi-conducteurs signe ainsi la mort symbolique de cette distribution axée sur les performances.

« Toutes les bonnes choses ont une fin : arrêt de Clear Linux OS », titre Arjan van de Ven, principal architecte et pilote du développement de cette distribution Linux historiquement portée par Intel. Dans un message qu’on imagine difficile à écrire, il indique qu’à compter de la publication de ce billet daté du 18 juillet, Intel ne fournira plus ni correctifs de sécurité, ni mises à jour pour Clear Linux OS. Son dépôt GitHub est dans le même temps passé en lecture seule.

La fin d’une distribution Linux portée par Intel

« Soyez assuré qu’Intel reste profondément investi dans l’écosystème Linux, en soutenant et en contribuant activement à divers projets open source et distributions Linux, de façon à assurer la compatibilité et optimiser les composants Intel », prend soin de préciser Arjan van de Ven, avant de remercier la communauté qui s’est impliquée dans Clear Linux OS depuis dix ans.

Ces accents corporate ne cachent pas la façon dont cet arrêt s’impose de façon très immédiate : les utilisateurs de Clear Linux OS sont en effet invités à migrer sans délai vers une autre distribution. « Sérieusement ? Pas de période de grâce, les utilisateurs sont censés migrer instantanément ? Franchement, ce n’est pas très sérieux », lâche en réponse un utilisateur dépité. « Serait-il possible d’en faire un projet communautaire ? » s’enquiert un autre.

Lancée à l’occasion de OpenStack Summit 2015, Clear Linux se voulait une distribution Linux optimisée à la fois pour les performances et pour la sécurité. Initialement pensée pour les environnements cloud, elle a évolué au fil des années pour répondre à des scénarios d’usage élargis, tout en conservant sa philosophie de mise à jour en continu (rolling release). Elle a aussi et surtout gardé sa logique d’optimisations pour les matériels x86, présentées comme adressées en priorité aux processeurs Intel mais également efficaces sur les puces concurrentes d’AMD.

Clear Linux OS prônait par ailleurs une approche stateless, selon laquelle le système d’exploitation doit pouvoir fonctionner indépendamment de tous les éléments de configuration.

Réduction des coûts tous azimuts

Combien d’ingénieurs le projet Clear Linux OS pouvait-il bien mobiliser au quotidien chez Intel ? Leur nombre était probablement marginal, surtout si l’on considère que le rythme de développement semblait avoir ralenti depuis 2021. Il est cependant probable que la distribution ait fait les frais du grand plan de restructuration engagé par Lip Bu Tan, le CEO d’Intel.

Annoncé en avril dernier, ce chantier prévoit pour mémoire de remettre à plat l’organisation interne du groupe, principalement pour en réduire les coûts de fonctionnement, et donc en améliorer théoriquement l’efficacité. Dans le cadre de ce plan, Lip Bu Tan avait également laissé entendre que le géant des semi-conducteurs tirerait un trait sur un certain nombre d’activités jugées non stratégiques.

• Lip-Bu Tan annonce une « remise à plat » d’Intel

Michelle Johnston Holthaus, CEO de la branche Intel Products, a résumé cette approche début juin lors d’une conférence organisée par Bank of America en affirmant qu’Intel n’avait pas vocation à assigner des ingénieurs à des projets non susceptibles de générer au moins 50 % de marges.

Intel, qui présentera le 24 juillet ses résultats financiers pour le deuxième trimestre 2025, prévoyait d’après Bloomberg de supprimer quelque 20 000 emplois dans le cadre de cette restructuration. Les grandes manœuvres associées semblent avoir déjà commencé : mi-juillet, Intel a par exemple rempli les déclarations préalables relatives à quelque 2 000 suppressions d’emploi sur ses sites de Folsom et Santa Clara, et d’autres vagues de licenciements sont engagées dans l’Oregon, le Texas et l’Arizona.

Plusieurs ingénieurs Linux ont quitté le navire

L’annonce de l’arrêt de Clear OS intervient quelques jours après que plusieurs ingénieurs spécialistes de GNU/Linux ont quitté la firme de Santa Clara, remarque Phoronix. C’est le cas notamment de Kirill Shutemov, contributeur historique du noyau Linux, qui a annoncé son départ sur LinkedIn.

Un porte-parole de NVIDIA a révélé le 16 juillet dernier que son environnement logiciel CUDA serait prochainement porté en direction de l’architecture libre de jeux d’instructions pour processeurs RISC-V.

L’annonce a été formulée par Frans Sijstermans, vice-président de l’ingénierie matérielle chez NVIDIA, à l’occasion de l’édition chinoise du sommet dédié à RISC-V, et relayée par le consortium qui gère cette architecture. Krste Asanović, président du conseil d’administration de la fondation RISC-V et architecte en chef de SiFive, l’a également saluée.

Exciting news from #RISCVSummitChina, as Frans Sijstermans from NVIDIA announces CUDA is coming to RISC-V! This port will enable a RISC-V CPU to be the main application processor in a CUDA-based AI system.#RISCV #RISCVEverywhere pic.twitter.com/08C2ghPHq9

— RISC-V International (@risc_v) July 18, 2025

Même si elle doit encore être précisée de façon plus formelle, l’annonce de NVIDIA ne signifie a priori pas que CUDA sera directement exécuté sur les processeurs RISC-V : les GPU de la marque restent l’environnement d’exécution exclusif, mais il sera désormais possible de faire tourner ces derniers sur des serveurs équipés de CPU RISC-V, vus ici comme une alternative aux puces x86 ou ARM.

Reste à voir dans quelle mesure ce mouvement initié par NVIDIA peut contribuer à accélérer l’adoption, encore modeste, de RISC-V dans les datacenters. Si le nombre d’entreprises qui développe des cœurs ou des cartes RISC-V est encore modeste, l’architecture suscite un intérêt grandissant, comme en témoignent la récente acquisition de MIPS par GlobalFoundries, ou l’annonce de la prise en charge au sein d’Ubuntu 25.10, suite logique de celle attendue pour Debian 13.

NVIDIA tutoie depuis longtemps le monde RISC-V, puisque l’entreprise fait appel à des microcontrôleurs basés sur cette architecture au sein de ses cartes graphiques depuis 2016. D’après la fondation RISC-V, chaque GPU NVIDIA compterait entre 10 et 40 cœurs RISC-V, ce qui signifie que la firme au caméléon aurait livré, en 2024, plus d’un milliard de microcontrôleurs RISC-V sur le marché.

Des failles peuvent en cacher d'autres

Deux failles dans SharePoint sont activement exploitées par des pirates à travers le monde. Bien qu’elles aient été corrigées une première fois, les solutions ont été contournées dans de nouvelles exploitations. Microsoft vient de publier en urgence de nouveaux patchs, mais les dégâts semblent déjà nombreux.

En mai, lors de l’évènement Pwn2Own à Berlin, des chercheurs de la société Viettel avaient montré comment ils pouvaient prendre le contrôle d’un serveur SharePoint sur site grâce à l’enchainement de deux failles. Ces exploitations, estampillées CVE-2025-49706 et CVE-2025-49704, ont été corrigées dans le patch Tuesday du mardi 8 juillet. Il valait mieux : l’attaque, nommée ToolShell, pouvait mener à une exécution de code arbitraire à distance.

Or, durant tout le week-end, des attaques ont eu lieu un peu partout pour viser les mêmes failles. Le problème n’était pas cette fois le manque d’installation des correctifs, mais un contournement des méthodes mises en place par Microsoft.

Deux failles sauvages apparaissent

Dès la nuit du 18 au 19, plusieurs dizaines de serveurs SharePoint sur site ont été attaqués avec la même méthode que pour ToolShell. Mais si la méthode est la même, les failles ne le sont pas. Deux nouvelles vulnérabilités ont été utilisées pour parvenir au résultat, CVE-2025-53770 et CVE-2025-53771. La première affiche un score CVSS très élevé de 9,8 sur 10, qui en fait une faille critique. La seconde a une note de 6,3. Des failles connues et corrigées ont donc été transformées en une nouvelle menace 0-day.

La situation est vite devenue grave, au point que Microsoft a publié il y a quelques heures deux nouveaux correctifs en urgence. Dans sa note technique sur le sujet, l’entreprise indique que les solutions apportées sont plus robustes que celles diffusées il y a deux semaines.

Il est donc recommandé d’installer ces correctifs aussi rapidement que possible, une centaine de serveurs au moins ayant déjà été piratés. Exploitées, les nouvelles failles conduisent à l’exécution de code arbitraire à distance et permettent aux pirates de prendre le contrôle des serveurs, avec tout ce que cela suppose de danger pour les données hébergées.

Il faut noter en outre que ces correctifs ne concernent pour l’instant que deux éditions de SharePoint : Server 2019 et Subscription Edition. La version 2016 n’a pas encore de solution, mais Microsoft promet la publication rapide d’un correctif dédié.

Aux États-Unis, la CISA (Cybersecurity and Infrastructure Security Agency) a ajouté la faille critique CVE-2025-53770 à son catalogue des vulnérabilités connues activement exploitées (KEV). En théorie, cet ajout donne 24 heures aux administrations américaines pour appliquer les correctifs.

Manipulations supplémentaires

Les pirates cherchent avant tout à récupérer les clés cryptographiques du serveur SharePoint. Connues sous le nom de MachineKeys, elles incluent la ValidationKey et la DecryptionKey, qui représentent le fondement de la confiance pour les mécanismes de gestion d’état, dont les jetons __VIEWSTATE. La chaine ToolShell permet la récupération de ces informations depuis la mémoire ou de la configuration. Munis de ces informations, les pirates peuvent alors créer leurs propres charges __VIEWSTATE valides, signées par l’outil ysoserial qui autorise la génération de leurs propres jetons.

Après installation des mises à jour, Microsoft conseille vivement de procéder à une rotation des clés pour les machines SharePoint. L’opération est manuelle et peut être effectuée via deux méthodes.

La première consiste à utiliser PowerShell et à lancer la commande « cmdlet Update-SPMachineKey ». C’est de loin la plus simple.

La seconde passe par Central Admin et réclame un plus grand nombre d’étapes. Il faut ainsi se rendre dans Central Admin, puis se rendre dans Monitoring -> Review job definition. Là, il faut chercher « Machine Key Rotation Job » et cliquer sur « Run Now ». après quoi, il faudra redémarrer IIS (Internet Information Services) sur l’ensemble des serveurs SharePoint.

Microsoft recommande également de vérifier les journaux (logs) et systèmes de fichiers pour chercher des traces d’une infection existante. Il faut notamment chercher la présence du fichier spinstall0.aspx présent dans C:\Progra~1\Common~1\Micros~1\Webser~1\16\Template\Layouts. Autre trace de contamination, la présence dans les journaux d’IIS d’une requête POST vers _layouts/15/ToolPane.aspx?DisplayMode=Edit&a=/ToolPane.aspx et d’un référent HTTP de _layouts/SignOut.aspx.

Microsoft donne d’ailleurs une requête Defender pour automatiser le processus :

eviceFileEvents

| where FolderPath has "MICROS~1\\WEBSER~1\\16\\TEMPLATE\\LAYOUTS"

| where FileName =~ "spinstall0.aspx"

or FileName has "spinstall0"

| project Timestamp, DeviceName, InitiatingProcessFileName, InitiatingProcessCommandLine, FileName, FolderPath, ReportId, ActionType, SHA256

| order by Timestamp desc

Quatre jours auront suffi

Que s’est-il passé exactement ? Lors de la publication des correctifs initiaux par Microsoft le 8 juillet, la communauté des chercheurs estime a priori que le problème est réglé. Les détails des failles n’avaient pas été divulgués par Viettel et le chercheur à l’origine de la découverte, Khoa Dinh, annonçait lui aussi que le problème était réglé le 10 juillet, donnant d’ailleurs le nom ToolShell à la chaine d’attaque. Il encourageait vivement l’installation des correctifs car l’exploitation pouvait se faire par une seule requête.

Le 14 juillet cependant, une autre société de sécurité s’en mêle : Code White. Située en Allemagne, elle annonce sur X avoir reproduit le problème, confirmant qu’une seule requête était nécessaire. Code White ne donne pas la requête, mais publie une capture dans laquelle apparaissent certains détails. De quoi mettre des pirates sur la piste. De plus, le 18 juillet, le chercheur Soroush Dalili publie d’autres informations, indiquant s’être servi de Gemini pour retrouver le contournement initial de Khoa Dinh et se réjouissant de l’utilisation de l’IA dans ce domaine.

On ne sait quelles informations précises ont été utilisées, mais les premières attaques ont été enregistrées à peine quelque heures plus tard. Ce lancement très rapide et l’absence apparente de traits communs entre les victimes laissent penser qu’il ne s’agit pas d’une attaque coordonnée par un acteur étatique, mais davantage d’une attaque opportuniste par divers groupes et individus. Elle serait donc le résultat de la diffusion de l’exploitation.

Le consortium Unicode a profité du World Emoji Day, le 17 juillet dernier, pour présenter en avant-première les nouveaux émojis qui intègreront la révision 17.0 de la norme de codage de caractères éponyme. À ce stade, neuf émojis ont été sélectionnés pour faire partie de la version finale de la norme, attendue pour l’automne. Sauf changement de dernière minute, les neuf visuels correspondants devraient donc faire leur apparition d’ici quelques mois sur le clavier virtuel des environnements les plus courants.

Si le consortium oriente parfois sa livraison annuelle d’émojis vers une problématique particulière (le handicap, par exemple, avec la révision 12.0 de la norme), Unicode 17.0 témoigne d’un certain éclectisme. On y retrouve ainsi un trombone (pas Clippy, l’instrument de musique), un coffre à trésor, un visage déformé, une « créature poilue » qu’on suppose être un yéti, un nuage représentant une bagarre à la façon d’une BD, un trognon de pomme, un orque, une danseuse de ballet et une chute de pierres.

« Ces nouveaux émojis ont des significations symboliques de longue date, sont visuellement distinctifs et contiennent une multitude d’expressions », estime le consortium. Rappelons que pour devenir un émoji, les propositions d’illustration doivent répondre à une liste de critères qui se résume en trois points : l’image est-elle lisible avec des dimensions réduites, est-elle capable de véhiculer une idée complémentaire d’un propos, et semble-t-il plausible que l’image soit largement utilisée ?

Le consortium Unicode, qui se présente pour mémoire comme une organisation privée sans but lucratif, lance par ailleurs à cette occasion un programme d’adoption qui permet de sponsoriser l’émoji de son choix. Comptez 5 000 dollars pour devenir l’adoptant exclusif d’un émoji.

Du simple cadenas à la porte blindée

Voici un récapitulatif de tous les mécanismes que l’on peut activer sur un iPhone pour en augmenter la sécurité. Bien que les comportements humains fassent toute la différence, certaines fonctions permettent de réduire les risques. Elles ne sont cependant pas sans conséquences sur les possibilités offertes par l’appareil.

Au printemps 2020, nous avions publié un guide sur les différentes méthodes existant pour augmenter l’autonomie de l’iPhone. Au-delà des questions évidentes sur les usages, nous revenions sur le fonctionnement des batteries, la maitrise de sa charge, le ménage à faire dans les notifications et les tâches en arrière-plan, ou encore sur certaines idées reçues, comme le résultat contre-productif des applications tuées en mémoire.

Nous vous proposons cette fois un guide sur la sécurité. Nous prenons le terme « sécurité » au sens large, en incluant les notions de confidentialité. Plusieurs fonctions existent pour relever le niveau général de protection des données personnelles, pour aller plus loin que la configuration de base. Cependant, comme c’est souvent le cas avec la sécurité, elles ont un impact sur les possibilités et la facilité d’usage au quotidien.

Apple se vante régulièrement de la sécurité de ses appareils et de son respect de la vie privée, la majorité de ses services connectés fonctionnant par défaut avec un chiffrement de bout en bout. La société ajoute régulièrement des protections supplémentaires, essayant de s’adapter à un état des menaces en constante évolution. C’est ainsi qu’on l’a vue cette année introduire un nouveau comportement de redémarrage automatique de l’appareil après une période d’inactivité.

Pourquoi ne pas tout activer par défaut ? Parce que la sécurité maximale crée des frictions et est envisagée comme un processif actif destiné aux personnes sachant un minimum où elles mettent les pieds. Un durcissement délibéré qui dépend aussi des besoins, notamment de la profession. Certaines fonctions ont ainsi été créées pour des métiers plus souvent visés par les menaces.

Le code de déverrouillage, la base non négociable

Sur un nouvel iPhone, la principale protection active est le code créé à la première configuration. Depuis plusieurs versions d’iOS, il est composé de six chiffres. Ne négligez pas le choix de ce code, car il est utilisé par le système pour composer la clé privée de chiffrement des données sur l’appareil. On peut le modifier dans les Réglages d’iOS, avec quatre choix, du moins sécurisé au plus sécurisé : code à quatre chiffres, code à six chiffres, séquence numérique personnalisée ou séquence alphanumérique personnalisée.

L’utilisation de Face ID ou Touch ID, bien que fortement mise en avant par Apple, n’est pas obligatoire. Et quand bien même, elle n’est là que pour accélérer les manipulations ultérieures. Il est impossible en effet de désactiver le code pour ne laisser que la biométrie, pour une bonne raison : un capteur peut tomber en panne. Impossible de bloquer les données derrière une fonction matérielle défectueuse.

Ce seul aspect met en lumière l’augmentation de la friction avec le niveau de sécurité. Une séquence alphanumérique personnalisée, incluant tous les types de caractères, est bien plus difficile à deviner qu’un code à quelques chiffres, mais le saisir plusieurs fois par jour peut vite devenir pénible.

Sachez en outre que si vous vous rendez dans Réglages puis dans « Face ID et code », vous verrez de nombreuses options. En plus de pouvoir changer le code, vous trouverez en bas de la page une option nommée « Effacer les données ». Si vous l’activez, le téléphone supprimera l’intégralité des données personnelles si la saisie du code de déverrouillage échoue dix fois d’affilée. C’est la crainte de cette option qui avait créé de fortes tensions entre Apple et le FBI en 2015, après l’attentat de San Bernardino en Californie.

Le mot de passe du compte Apple, l’autre brique essentielle

Avec le code de déverrouillage, le mot de passe du compte Apple est une autre pierre angulaire de la sécurité. De manière générale, tout mot de passe d’un compte central – comme peuvent l’être ceux d’Apple, Google, Microsoft ou encore Meta – doivent être créés avec beaucoup de soin. Ils donnent accès à de nombreux services et à toutes vos données personnelles liées. Le mot de passe doit donc être aussi long que possible et faire intervenir des minuscules, majuscules, caractères spéciaux et chiffres. On peut aussi s’orienter vers une phrase de passe, comme recommandé par l’ANSSI.

Si votre compte Apple a été créé au cours des dernières années, la double authentification est active par défaut. Cela signifie qu’aucune nouvelle connexion au compte n’est possible sans validation sur l’iPhone, qui sert de point de repère. Si vous n’avez pas la double authentification, son activation est chaudement recommandée. Pour ce faire, rendez-vous dans Réglages > [Votre nom] > Connexion et sécurité > Identification à deux facteurs. Dans ce même menu, on pourra gérer les appareils de confiance et révoquer les accès. En bas de la page, vous trouverez l’option permettant d’activer les clés physiques de type YubiKey.

De manière générale, il est conseillé d’activer l’authentification à deux facteurs sur tous vos comptes.

Protection avancée des données : les choses sérieuses commencent

Cette fonction représente un autre exemple de solution à mi-chemin entre sécurité et facilité d’utilisation. Ainsi, par défaut, certaines données ne sont pas chiffrées de bout en bout dans les services d’Apple : les sauvegardes iCloud, photos, notes, rappels, mémos vocaux, signets Safari ou encore fichiers stockés dans iCloud Drive bénéficient d’un chiffrement simple (transfert et au repos). Apple possède une copie des clés.

Pourquoi ce choix ? Essentiellement pour des questions de responsabilité et de praticité. En cas de chiffrement de bout en bout, vous êtes seul(e) responsable du devenir de vos données. Si vous perdez le mot de passe et l’accès à vos appareils de confiance, il peut être impossible de récupérer vos informations.

La Protection avancée des données transfère cette responsabilité. Elle va renforcer le niveau de sécurité et de confidentialité en imposant le chiffrement de bout en bout sur la quasi-totalité des données liées au compte Apple. L’entreprise, de son côté, supprime sa copie des clés.

Pour s’assurer que des hordes d’utilisateurs en furie n’inondent pas son service client, la société impose plusieurs conditions. En plus du code d’accès de l’appareil, l’authentification à deux facteurs doit avoir été activée sur le compte Apple. Ensuite, il faudra choisir : définir un contact de récupération ou une clé de secours. Impossible d’activer la protection avancée sans l’un des deux. Si vous n’en avez configuré aucun, l’assistant d’activation de la protection vous forcera à choisir un contact.

Il y a plusieurs autres éléments à prendre en compte. La protection avancée valorise le chiffrement de bout en bout et isole les données personnelles derrière le compte Apple. Ce périmètre renforcé a des conséquences, dont l’impossibilité par défaut d’accéder au site iCloud.com. L’activation ne pourra en outre se faire que si tous les appareils reliés au compte disposent d’une version récente du système. Un appareil qui n’a pas été manipulé et/ou mis à jour depuis plusieurs mois pourra empêcher le fonctionnement.

Sachez enfin que la Protection avancée ne permet pas de chiffrer l’intégralité des données rattachées à iCloud. Certains services comme iCloud Mail, Contacts et Calendrier ne sont pas inclus. Au contraire, des données très sensibles comme celles de l’application Santé ou les mots de passe sont toujours chiffrées de bout en bout, Protection avancée ou pas.

Mode Isolement : le cran au-dessus

Si la Protection avancée concerne les services en ligne et concerne avant tout la confidentialité, le mode Isolement (Lockdown) est, lui, conçu pour la sécurité de l’appareil. Son objectif est simple : bloquer certaines fonctions, désactiver des capacités et réduire la surface d’attaque, afin de bloquer autant de scénarios malveillants que possible.

Il s’agit d’une protection aussi radicale qu’optionnelle, conçue pour certaines catégories de personnes comme celles à hautes responsabilités, les dissidents politiques, activistes et journalistes. Apple la qualifie de « protection extrême facultative destinée à de rares personnes susceptibles d’être personnellement ciblées (en raison de leur identité ou de leurs activités) par certaines des menaces numériques les plus sophistiquées », pour empêcher l’installation à distance de logiciels espion.

On l’active depuis Réglages > Confidentialité et sécurité > Mode Isolement. Cette activation se répercute immédiatement sur toute Apple Watch jumelée avec le téléphone. En revanche, sur les autres appareils (dont les Mac), il faudra refaire la manipulation.

L’activation du mode Isolement produit une série d’effets :

• Messages : la plupart des pièces jointes sont bloquées (sauf les images) et certaines fonctionnalités sont indisponibles
• FaceTime : toute invitation d’appel de la part d’une personne qui n’a pas déjà été appelée sera refusée
• Navigation web : certaines fonctions sont bloquées, notamment la compilation JIT pour JavaScript, à moins d’indiquer expressément qu’un site n’est pas concerné
• Services Apple : invitations bloquées, à moins d’avoir déclenché d’abord une première interaction avec la personne
• Les connexions filaires vers un ordinateur ou un accessoire sont bloquées à moins que l’iPhone soit déverrouillé
• Les profils de configuration sont bloqués et l’appareil ne peut pas rejoindre une flotte pilotée par une solution MDM
• Photos : blocage des albums partagés et des invitations liées, suppression des informations de localisation
• Connectivité sans fil : déconnexion automatique de tous les réseaux Wi-Fi non sécurisés, impossibilité de les rejoindre, désactivation de la compatibilité 2G

Ajoutons que ce mode empêche toute installation de profils de configuration. Cela empêche notamment l’appareil de pouvoir être inscrit à une solution de gestion ou de supervision des appareils. Les profils installés avant l’activation du mode Isolement restent en place. Notez que la fonction elle-même n’est pas accessible depuis les solutions de gestion et supervision. Elle ne peut être activée ou désactivée que localement.

Les points à vérifier

Il existe de nombreux paramètres à vérifier pour s’assurer que tout va bien. Ces conseils s’appliquent à tous, même quand on ne compte pas se lancer dans des mécanismes renforcés comme la Protection avancée et le mode Isolement.

L’un des principaux points à contrôler est aussi l’un des plus rébarbatifs : se rendre dans Réglages > Confidentialité et sécurité, et vérifier les autorisations données aux applications. iOS regroupe ces autorisations par catégories, permettant de voir facilement par exemple quelles applications ont accès à la caméra, au micro ou à la géolocalisation.

Il est toujours conseillé de donner le moins d’autorisations possible. Une application de retouche photo n’a, a priori, pas besoin d’accéder aux contacts. Dans le panneau de configuration, on trouve également le Rapport d’activité des applications, qui permet de savoir précisément qui a fait quoi au cours des sept derniers jours.

L’écran de verrouillage est un élément important de la sécurité locale de l’iPhone. Réglages > Luminosité et affichage > Verrouillage automatique, on peut modifier le temps d’attente avant verrouillage automatique. Plus le délai est court, plus grande est la sécurité, mais chacun(e) devra équilibrer ce réglage entre protection et praticité.

La configuration de cet écran est capitale. En vous rendant dans Réglages > Face ID et code et en descendant dans le panneau, vous trouverez une section « Autoriser l’accès en mode verrouillé ». De là, on pourra décocher les fonctions que l’on ne veut plus voir disponibles avant déverrouillage. Les centres de notifications et de contrôle sont ainsi activés par défaut, à vous de voir s’ils doivent le rester. On peut également choisir pour les widgets, les activités en direct ou encore l’accès à Siri.

Parmi les conseils généraux, il est recommandé de ne pas jailbreaker son appareil et de vérifier que les mises à jour du système sont téléchargées et installées automatiquement.

Un assistant pour parer au plus urgent

Notez que de nombreux points à vérifier sont présents dans l’assistant Contrôle de sécurité, disponible dans Réglages > Confidentialité et sécurité > Contrôle de sécurité. Il a deux fonctionnements : un mode classique dans lequel on va passer en revue de nombreux réglages (dont la liste des personnes avec qui on partage du contenu et les autorisations données aux applications) et une option « nucléaire ».

Celle-ci, nommée « Réinitialisation d’urgence », révoque immédiatement tous les partages d’informations et toutes les autorisations données aux applications. Par exemple, les calendriers et notes partagés, l’accès aux accessoires dans Maison, ou encore le partage de position dans Localiser. Après quoi, l’assistant tente de renforcer la sécurité du compte Apple, en invitant à modifier le mot de passe, en vérifiant les contacts d’urgence et en contrôlant les appareils de confiance.

Il n’y a pas de défense absolue

Ces protections ont beau être nombreuses et pour certaines puissantes, il n’existe pas de protection totale contre les menaces. Le fait que des failles de sécurité soient corrigées à chaque mise à jour le rappelle à chaque fois. Tout comme l’existence d’un marché gris dans ce domaine : il y a 10 ans, des entreprises comme Zerodium allaient jusqu’à proposer 1,5 millions de dollars pour une faille 0-day. Elle a depuis fermé, mais l’un de ses principaux successeurs, Crowdfense, propose aujourd’hui jusqu’à 5 à 7 millions de dollars pour une faille « zero click ».

La sécurité d’un appareil dépend aussi bien des options activées que des comportements, autrement dit d’une hygiène numérique plus générale. Dans ce domaine, on peut par exemple reprendre la liste des dix règles publiée par l’ANSSI, et dans laquelle on trouvait déjà une référence au mode Isolement. Une attention dans l’usage quotidien est ainsi fondamentale, le smartphone étant (presque) un ordinateur comme un autre.

Enfin, un guide équivalent pour Android est prévu, mais prendra plus de temps, à cause de la pluralité des modèles et surcouches des constructeurs.

Meta ne signera pas le code de bonne conduite publié par la Commission européenne récemment. Le responsable des affaires internationales de Meta, Joel Kaplan, a affirmé dans un post LinkedIn : « Nous avons examiné attentivement le code de pratique de la Commission européenne pour les modèles d’IA à usage général (GPAI) et Meta ne le signera pas ».

« Ce code introduit un certain nombre d’incertitudes juridiques pour les développeurs de modèles, ainsi que des mesures qui vont bien au-delà du champ d’application de la loi sur l’IA », ajoute-t-il.

• IA : La Commission européenne a publié son peu contraignant code de bonne conduite

Pourtant, comme nous l’expliquions la semaine dernière, ce code n’engage pas à grand chose. Il a même été édulcoré depuis sa version de travail de mars dernier en perdant, par exemple, des informations sur les performances et limites des modèles ou encore une exigence de transparence sur les contenus copyrightés utilisés.

« L’Europe fait fausse route en matière d’IA », affirme Joel Kaplan. Mistral AI, de son côté, avait joué la semaine le rôle de bon élève en annonçant en premier sa signature.