Tech-fr publisher

Mistral AI a présenté Shieldstral, un nouveau modèle de sécurité multimodal en open weight destiné à filtrer et contrôler les contenus produits ou analysés par des systèmes d’intelligence artificielle. Disponible sous licence Apache 2.0, il peut être déployé localement avec des ressources limitées, notamment sur un seul GPU équipé de 16 Go de mémoire.

Sa particularité réside dans son fonctionnement : plutôt que de s’appuyer uniquement sur des catégories de risques prédéfinies, les développeurs peuvent définir leurs propres règles de modération en langage naturel. Le modèle évalue ensuite si un texte ou une image respecte ces critères, avant ou après la génération de contenu.

Mistral affirme que Shieldstral offre des performances comparables, voire supérieures, à celles de modèles de sécurité open source beaucoup plus volumineux, avec des résultats élevés sur les tests de sécurité textuelle et multimodale. Le modèle prend en charge douze langues et est disponible sur Hugging Face.

The post Mistral dévoile Shieldstral pour sécuriser les contenus IA appeared first on INCYBER NEWS.

AXA XL a annoncé, le 6 août 2026, avoir conclu un accord en vue de l’acquisition des actions restantes de S-RM, cabinet international spécialisé dans la cybersécurité et l’intelligence d’entreprise. La division du groupe AXA dédiée aux risques P&C et de spécialités détient actuellement environ 49 % du capital de l’entreprise. 

Fondé en 2005, S-RM intervient notamment dans l’évaluation des risques cyber, la détection et la réponse aux incidents, les investigations spécialisées, l’intelligence géopolitique et la due diligence. Le cabinet compte neuf bureaux sur six continents et accompagne des clients dans plus de 140 pays. 

Une fois l’opération finalisée, S-RM doit rejoindre AXA XL Risk Advisory, la nouvelle business unit de l’assureur consacrée à la prévention. Le cabinet doit continuer à fournir ses services à sa clientèle internationale au sein de cette structure. 

Créée en mai 2026, AXA XL Risk Advisory doit permettre au groupe de développer ses capacités de conseil et de prévention en combinant expertise en gestion des risques, données et technologies. AXA XL avait également annoncé en juin un partenariat avec Deloitte portant sur des services de cybersécurité et de sécurité des technologies opérationnelles destinés à ses clients. 

L’acquisition de S-RM confirme ainsi la volonté de l’assureur d’étendre son intervention au-delà du seul transfert financier du risque, en développant des capacités de prévention, d’analyse et de réponse aux incidents.

« L’acquisition de S-RM constitue une étape clé dans le développement d’AXA XL Risk Advisory », déclare Scott Gunter, CEO d’AXA XL. Selon le groupe, l’opération doit notamment renforcer ses capacités d’accompagnement face aux risques émergents. 

AXA XL et S-RM travaillent ensemble depuis plus de quinze ans. Durant cette période, l’assureur a été à la fois client et investisseur du cabinet. 

The post AXA XL va acquérir la totalité du cabinet de cybersécurité et d’intelligence S-RM appeared first on INCYBER NEWS.

Une limite historique de ChatGPT va disparaître : OpenAI annonce que les utilisateurs gratuits pourront désormais discuter autant qu'ils le souhaitent avec GPT-5.6 Luna, son nouveau modèle conçu pour la rapidité. L'entreprise mise sur cette distinction pour battre ses rivaux.

Anthropic est en train de mettre sur pied une équipe dédiée à la conception de puces spécialisées dans les calculs pour l’IA. La start-up veut co-concevoir ses modèles d’IA et des accélérateurs dédiés pour mieux répondre à la forte demande à laquelle il fait face, et ce à moindre coût. L’information, qui avait fuité ces dernières semaines, a été confirmé par Anthropic à Business Insider.

Huit ans après avoir commencé à développer ses premiers camions autonomes, Pony.ai passe à la vitesse supérieure. La société sino-américaine annonce ce 6 août vouloir accélérer le déploiement de ses camions légers autonomes et passer le cap des 100 000 unités produites à horizon 2030.

Les agents IA peuvent enchaîner des dizaines d’appels de modèles, utiliser des outils externes, acheter des services et recommencer plusieurs fois une opération sans que l’entreprise sache précisément ce que chaque mission lui a coûté. Alors que les budgets consacrés à l’intelligence artificielle subissent leurs premiers audits, une nouvelle couche d’infrastructure, à l’instar de SAPIOM, …

L’article Avec 35 millions de dollars, SAPIOM veut devenir le contrôleur de gestion des agents IA est apparu en premier sur FW.MEDIA.

Grand chamboulement au sein de Google DeepMind cette semaine avec le départ ou la mise en retrait de plusieurs dirigeants, à commencer par son CEO et cofondateur Demis Hassabis. Il va passer à un rôle de président de l’organisation (chairman), ainsi qu’à celui de Chief Scientist d’Alphabet. Pour rappel, DeepMind est la division de Google en charge de la recherche en intelligence artificielle.

Xbox va enfin mettre à jour son système de succès avec une fonctionnalité réclamée depuis longtemps. C'est la nouvelle PDG, Asha Sharma, qui l'annonce, sans toutefois préciser quand.

Google sabre plusieurs fonctionnalités de Gmail, pour sa version web.

Ce qu'il faut retenir :

• Les recherches « tenues de festival été » ont augmenté de +400 % sur Pinterest, signe que les festivaliers préparent leurs looks bien avant les premiers concerts.
• Six grandes tendances se dégagent : maximalisme tropical, style pirate, indie sans effort, pop Y2K, transparence euphorique et esthétique « grand drama ».
• Pinterest lance un partenariat inédit avec Le Touquet Music Beach Festival, avec un tableau dédié pour planifier ses tenues, ainsi que des contenus exclusifs et des challenges créatifs sur place.
• L'esthétique « showgirl » explose littéralement, avec une hausse de +945 % des recherches associées.

Du maximalisme tropical au style pirate

La tendance qui écrase toutes les autres, c'est le maximalisme tropical. Plumes, franges et paillettes dorées s'y mêlent dans une ambiance de carnaval, portée notamment par l'explosion des recherches « esthétique showgirl » (+945 %). On y retrouve aussi les tenues « tropicoqueta » (+105 %) et les robes à franges dorées (+30 %).

À l'opposé, le style piratecore mise sur le récup et l'imperfection assumée : ceintures superposées, suédine usée et maquillage légèrement baveux. Les recherches de maquillage yeux pirate grimpent de +330 %, tandis que les mini-jupes en suédine progressent de +195 %.

Indie, pop et transparence : trois façons différentes de vibrer

Le style indie sans effort séduit les nostalgiques de l'esthétique rock des années 2000 : t-shirts de groupes chinés, chemises en flanelle usées et allure décontractée mais pointue. Les recherches de tenues rock années 2000 et d'outfits shoegaze progressent chacune de +60 %.

À l'inverse, la tendance pop Y2K joue la carte de l'excès assumé, avec des jeans aérographés (+75 %) et l'esthétique « Frutiger Aero » (+40 %), qui mélange brillance techno et maximalisme pop.

Autre ambiance avec la tendance « sheer euphoria » : organza transparent et soies oversize pour des looks doux et émotionnels, pensés pour les moments de complicité entre amis sur le dancefloor. Les jupes transparentes street style et les chemises en organza progressent toutes deux de +60 %.

Le grand drama, ultime tendance de la saison

Dernière esthétique repérée par Pinterest : le grand drama, où l'exagération devient la règle. Chaussures dépareillées, maquillage contrasté et superpositions audacieuses composent des looks pensés comme de véritables costumes. Les recherches de tenues dépareillées bondissent de +75 %, celles de maquillage dramatique des yeux de +45 %.

L’article "Pinterest dévoile les tendances mode de la saison des festivals 2026" a été publié sur le site Abondance.

Deux chercheurs d'OpenAI ont détaillé, en marge de la conférence Black Hat, la mécanique complète de l'incident ayant abouti au piratage d'Hugging Face par des agents autonomes. Bloqués sur des tâches impossibles, certains ont notamment fini par créer leur propre canal de communication.

Naomi Bashkansky a quitté OpenAI pour rejoindre Conduit, une startup qui veut convertir l’activité cérébrale en instructions pour des agents d’IA comme Codex. Son pari : remplacer un jour les prompts par un simple bandeau neuronal.

L’arrivée de taxis autonomes à Londres se précise. Uber et Wayve, qui planchent sur un service de taxis autonomes dans la capitale britannique dans les prochains mois, ont annoncé le 5 août avoir obtenu l’autorisation de l’organisme responsable des transports en commun Transport for London (TfL) leur permettant de disposer de licences de VTC.

Le géant américain lance en bêta son propre agent de codage IA, misant sur des prix cassés pour bousculer un marché ultra-concurrentiel.

Considéré comme l’un des architectes de l’intelligence artificielle moderne, Demis Hassabis était devenu le visage de Google dans la révolution des LLM. Le prix Nobel de chimie abandonne la direction opérationnelle de Google DeepMind et va se consacrer à la recherche scientifique et à l’AGI dans un nouveau poste taillé sur mesure. Wall Street a sanctionné l’annonce, tombée le même jour que le départ de Jeff Dean après 27 ans chez Google : l’action Alphabet a perdu 4,05 %.

Le problème, révélé par un utilisateur de Reddit puis documenté par WIRED, concernait uniquement les conversations que les utilisateurs avaient choisi de partager via un lien public. Certaines d’entre elles ont été indexées par Google et Bing, permettant de les retrouver directement depuis les moteurs de recherche grâce à une requête ciblée. Parmi les échanges exposés figuraient notamment des questions juridiques, politiques ou encore personnelles. 

Une protection technique jugée insuffisante

Selon WIRED, Anthropic empêchait déjà les robots d’exploration d’accéder à ces pages via un fichier robots.txt. Toutefois, ce mécanisme n’empêche pas systématiquement l’indexation d’une page lorsqu’elle est liée depuis d’autres sites. Google et Bing recommandent également l’utilisation d’une balise noindex, absente des pages concernées au moment des faits. 

Google a retiré les résultats

Depuis, Google a supprimé les conversations de son index, tandis que Bing affichait encore plusieurs centaines de résultats lors de la publication de l’enquête. Anthropic rappelle que les conversations sont privées par défaut et que les liens de partage ne deviennent accessibles qu’à la demande de l’utilisateur. L’entreprise recommande aux utilisateurs de gérer leurs conversations partagées depuis les paramètres de confidentialité. 

The post <strong>Claude AI</strong> : des conversations indexées par Google appeared first on INCYBER NEWS.

Meta a reconnu que son modèle Muse Spark 1.1 avait compromis les systèmes d'une société extérieure au cours d'une évaluation de cybersécurité. L'entreprise touchée n'a pas été identifiée.

Le déroulé est assez simple, une erreur de configuration a laissé le modèle atteindre l'internet public depuis son environnement de test, après quoi il a exploité une faille dans un service tiers et modifié les réglages internes de la société visée.

Cet environnement de test c'est le bac à sable. Une machine coupée du reste du monde, censée laisser un logiciel s'agiter sans qu'il puisse toucher quoi que ce soit de réel.

Le partenaire chargé de ces évaluations s'appelle Irregular. Le nom vous dit peut-être quelque chose, puisque c'est exactement le même prestataire qui avait laissé passer un modèle d'OpenAI vers un vrai site web, dans une affaire révélée la veille.

Dans ce cas-là, le nom inventé pour la cible de l'exercice correspondait à un domaine réellement déposé, et le modèle avait fini par récupérer des identifiants et administrer le site.

Anthropic avait ouvert le bal fin juillet en reconnaissant que ses propres modèles avaient pénétré trois entreprises pendant des tests.

Irregular assure de son côté qu'il s'agit du même problème d'environnement de test que celui déjà signalé par Anthropic, et pas d'une évasion de bac à sable ni d'une attaque sophistiquée.

Sauf que le point qui pose vraiment problème est ailleurs. Trois éditeurs différents, un seul prestataire d'évaluation, et la même erreur de configuration qui laisse un modèle sortir sur le réseau public alors qu'on lui a dit qu'il n'y avait pas accès.

Tous les incidents ne viennent pas d'Irregular, cela dit. L'institut britannique de sécurité de l'IA a observé de son côté un modèle monter une attaque contre un projet open source bien réel, en fabriquant de faux comptes et en faisant de l'ingénierie sociale sur ses mainteneurs.

Les modèles, eux, se comportent exactement comme prévu. On leur demande de trouver et d'exploiter des failles dans un système, ils trouvent et ils exploitent, et personne ne leur a donné les moyens de savoir que la cible était bien réelle.

Meta annonce une rétrospective complète. Irregular affirme de son côté qu'aucun problème de sécurité ne reste ouvert. Bref, on n'a pas fini d'entendre parler de ce genre de cas.

Source : Bloomberg

Par Marc Mossé – Senior Counsel, Eden Gall – Counsel

Adopté le 12 juillet 2023, le paquet « e-Evidence » repose sur deux textes complémentaires. Le règlement (UE) 2023/1543, directement applicable à partir du 18 août 2026, crée les injonctions européennes de production et de conservation. La directive (UE) 2023/1544 organise, quant à elle, la désignation par les fournisseurs d’un établissement ou d’un représentant légal dans l’Union afin de recevoir et d’exécuter ces injonctions. Le Danemark n’est pas lié par le règlement. L’Irlande a, en revanche, notifié son souhait d’y participer, ce qui est notable dès lors que de nombreuses entreprises du secteur des technologies de l’information ont leur principal établissement dans cet État membre de l’UE : le périmètre réel de la coopération s’en trouve sensiblement élargi. Pour les autres États membres, la réforme instaure un cadre uniforme qui complète, sans les supprimer, les instruments existants.

Un accès direct au fournisseur qui modifie les circuits traditionnels

Le changement principal tient au circuit de la demande. Jusqu’à présent, l’obtention de données situées à l’étranger reposait en principe sur l’intervention des autorités de l’État requis, notamment au moyen de l’entraide judiciaire ou de la décision d’enquête européenne. Le règlement permet désormais à l’autorité compétente de l’État d’émission de transmettre directement son certificat à l’établissement désigné ou au représentant légal du fournisseur dans un autre État membre. L’État dans lequel les serveurs sont physiquement situés n’est pas déterminant : le texte e-Evidence s’applique « quelle que soit la localisation des données ».

Deux instruments doivent être distingués : 

• L’injonction européenne de production, transmise au moyen d’un certificat d’injonction européenne de production (EPOC), impose la remise de données déjà stockées au moment de sa réception. 
• L’injonction européenne de conservation, transmise au moyen d’un certificat d’injonction européenne de conservation (EPOC-PR), oblige le fournisseur à empêcher le retrait, la suppression ou la modification des données dans l’attente d’une demande de production ultérieure. Elle ne vaut donc pas, à elle seule, autorisation de communiquer les données.

Le mécanisme reste circonscrit aux procédures pénales et, aux fins de l’exécution d’une peine ou d’une mesure de sûreté privative de liberté, à trois conditions cumulatives : une durée d’au moins quatre mois, une décision qui n’a pas été rendue par défaut et une personne condamnée qui s’est soustraite à la justice. Les injonctions peuvent également être émises dans le cadre de procédures portant sur une infraction dont une personne morale pourrait être tenue responsable dans l’État d’émission. Le règlement n’a pas pour objet les enquêtes civiles ou administratives et ne s’applique pas aux procédures engagées en vue de fournir une entraide judiciaire à un autre État membre ou à un pays tiers. Les autorités nationales conservent par ailleurs la possibilité de recourir à leurs pouvoirs internes à l’égard des fournisseurs établis ou représentés sur leur territoire.

Un champ d’application aussi large que l’économie numérique

La notion de fournisseur de services dépasse largement les opérateurs de télécommunications. Sont visés les services de communications électroniques, les services d’attribution de noms de domaine et de numérotation IP, ainsi que les services de la société de l’information qui permettent aux utilisateurs de communiquer entre eux ou dont une composante déterminante consiste à stocker ou traiter des données pour leur compte. Messageries, réseaux sociaux, plateformes, places de marché, services cloud et hébergeurs peuvent ainsi entrer dans le champ du texte. Les services financiers sont en revanche exclus de cette définition, ce qui borne un champ par ailleurs très étendu.

Le fournisseur n’a pas nécessairement à être établi dans l’Union. Il suffit qu’il y propose ses services et présente un lien substantiel avec un État membre, apprécié notamment au regard de l’existence d’un établissement, d’un nombre significatif d’utilisateurs ou d’un ciblage des activités vers le marché européen. La directive 2023/1544 impose alors, selon la situation du fournisseur, la désignation d’un établissement doté de la personnalité juridique ou la nomination d’un représentant légal dans l’Union, au plus tard le 18 août 2026 pour les acteurs déjà présents.

Le règlement e-Evidence définit les preuves électroniques par trois catégories – données relatives aux abonnés, données relatives au trafic et données relatives au contenu – mais organise en réalité quatre régimes : les adresses IP et informations connexes demandées à la seule fin d’identifier un utilisateur constituent un sous-ensemble découpé au sein des données de trafic, soumis à un régime allégé. Cette distinction commande le niveau de contrôle. Les données d’abonné ou d’identification peuvent être demandées pour toute infraction pénale. Les données de trafic – hors simple identification – et de contenu ne peuvent en principe être obtenues que pour une infraction passible d’une peine maximale d’au moins trois ans ou pour certaines infractions spécialement visées, notamment en matière de cybercriminalité, de terrorisme, d’exploitation sexuelle des enfants ou de fraude et de contrefaçon des moyens de paiement autres que les espèces au sens de la directive (UE) 2019/713, ces infractions devant en outre avoir été commises, en tout ou en partie, au moyen d’un système d’information – condition qui ne s’applique pas aux infractions terroristes.

L’autorité habilitée dépend également de la sensibilité des données. Un procureur peut émettre ou valider une injonction de production portant sur des données d’abonné ou d’identification ; pour les données de trafic et de contenu, l’émission ou la validation d’une telle injonction doit relever d’un juge, d’une juridiction ou d’un juge d’instruction. Cette dichotomie ne vaut toutefois que pour la production : une injonction européenne de conservation concernant des données de toute catégorie, y compris de trafic et de contenu, peut être émise ou validée par un procureur. En cas d’urgence valablement établi, une injonction portant sur des données d’abonné ou d’identification, ou une injonction de conservation, peut en outre être émise sans validation préalable, sous réserve d’une validation ex post dans les quarante-huit heures ; à défaut, l’injonction est retirée et les données obtenues sont supprimées ou leur usage limité. Dans tous les cas, l’injonction doit être nécessaire, proportionnée et possible dans une procédure nationale similaire.

Dix jours pour produire, huit heures en cas d’urgence

Dès réception d’un EPOC, le destinataire doit agir rapidement pour conserver les données demandées. Il doit ensuite les transmettre directement à l’autorité indiquée dans le certificat dans un délai maximal de dix jours à compter de la réception de l’EPOC lorsqu’aucune notification n’est requise. En cas d’urgence (menace imminente pour la vie, l’intégrité physique ou la sécurité d’une personne ou pour une infrastructure critique dans les conditions prévues par le texte), le délai tombe à huit heures. L’urgence devient ainsi une contrainte de disponibilité permanente, y compris la nuit, le week-end et les jours fériés. Le certificat est par ailleurs traduit dans une langue acceptée par le destinataire ou, à défaut de choix de sa part, dans une langue officielle de l’État membre où se trouve l’établissement désigné ou le représentant légal ; chaque État membre peut élargir la liste des langues qu’il accepte et notifie ses autorités compétentes à la Commission.

L’EPOC-PR appelle une réaction encore plus immédiate : les données doivent être conservées sans retard injustifié. Cette obligation prend fin après soixante jours, sauf si l’autorité confirme qu’une demande de production ultérieure a été émise. Elle peut être prolongée une fois de trente jours pour permettre l’émission de cette demande. Pendant cette période, le fournisseur doit garantir l’intégrité et la disponibilité des données sans les communiquer prématurément.

Le règlement e-Evidence prévoit toutefois un dialogue lorsque le certificat est incomplet, manifestement erroné ou insuffisamment précis, ou lorsqu’une impossibilité de fait empêche l’exécution. Le fournisseur utilise alors le formulaire harmonisé de l’annexe III et conserve les données lorsqu’elles peuvent être identifiées. Pour une injonction de production, l’autorité d’émission dispose de cinq jours pour apporter les éclaircissements nécessaires, les obligations d’exécution du fournisseur étant suspendues tant qu’ils ne sont pas fournis. Le mécanisme vaut également pour l’EPOC-PR, avec une sanction différente et plus favorable au fournisseur : en l’absence de réaction de l’autorité d’émission dans le délai de cinq jours, le fournisseur de services est exempté de ses obligations de conservation. Ces mécanismes supposent des procédures internes capables de distinguer, dans un délai très bref, la difficulté technique, l’irrégularité apparente et le simple désaccord sur le bien-fondé de la demande.

Les fournisseurs doivent permettre à leur établissement désigné ou à leur représentant légal d’accéder au système et prennent en charge les coûts nécessaires à son intégration ou à son utilisation. L’article 14 leur permet de demander à l’État d’émission le remboursement de leurs frais lorsque le droit national de cet État le prévoit pour des injonctions nationales similaires, ces règles nationales devant être rendues publiques par la Commission. Le portail d’enregistrement de la Commission est par ailleurs désormais accessible aux fournisseurs.

Des garanties organisées à plusieurs niveaux

La rapidité du mécanisme n’écarte pas tout contrôle par l’État chargé de la mise en œuvre. Lorsqu’une injonction de production porte sur des données de trafic ou de contenu, l’autorité chargée de la mise en œuvre doit en principe être notifiée en même temps que le fournisseur. La transmission des données intervient alors à l’expiration du délai de dix jours, ou plus tôt si l’autorité chargée de la mise en œuvre confirme qu’elle n’invoquera aucun motif de refus. En cas d’urgence, cette autorité dispose de quatre-vingt-seize heures pour s’opposer à l’utilisation des données, y compris après leur transmission, l’autorité d’émission devant alors les effacer ou en restreindre l’usage : cette objection a posteriori a une portée pratique forte pour les fournisseurs. La notification n’est toutefois pas requise lorsque l’autorité d’émission a des motifs raisonnables de croire que l’infraction a été commise, est en train d’être commise ou est susceptible d’être commise dans son propre État et que la personne concernée y réside, ces deux conditions étant cumulatives.

Les motifs de refus s’organisent en deux étages. Au stade de la notification, l’autorité chargée de la mise en œuvre peut invoquer, dans les dix jours, ou quatre-vingt-seize heures en cas d’urgence, les motifs limitativement énumérés à l’article 12 : immunités ou privilèges, règles protégeant la liberté de la presse, violation manifeste d’un droit fondamental dans des circonstances exceptionnelles, principe ne bis in idem ou, sous réserve d’exceptions, absence de double incrimination. Au stade de la mise en œuvre forcée, l’article 16, §4 et §5 ouvre des motifs plus larges : absence d’autorité d’émission compétente, infraction située hors des seuils fixés, impossibilité de fait, données non stockées au moment de la réception du certificat ou service hors du champ du règlement. Le destinataire n’est donc pas érigé en juge général de la nécessité et de la proportionnalité de l’injonction. Il devient néanmoins le premier niveau de détection des anomalies manifestes et doit signaler les obstacles dont il a connaissance.

Le règlement porte une attention particulière aux données couvertes par le secret professionnel et aux libertés des médias, selon deux régimes distincts. D’une part, l’article 5, §9 du Règlement encadre l’émission de l’injonction lorsque les données de trafic ou de contenu, hébergées dans une infrastructure fournie à un professionnel soumis au secret professionnel en vertu du droit de l’État d’émission, sont protégées par ce secret : l’injonction ne peut alors être émise que dans certaines hypothèses, notamment si le professionnel réside dans l’État d’émission, si le fait de s’adresser à lui risquerait de nuire à l’enquête ou si le secret a été levé. Lorsque l’infrastructure est fournie à une autorité publique, l’article 5, §8 du Règlement réserve l’émission de l’injonction aux cas où cette autorité est située dans l’État d’émission, disposition applicable mutatis mutandis à la conservation ; point sensible pour les fournisseurs de services cloud du secteur public. D’autre part, les articles 10, §5 et 11, §4 imposent au destinataire et au fournisseur d’alerter les autorités lorsque l’exécution paraît interférer avec des immunités, des privilèges ou des règles relatives à la liberté de la presse ou d’expression selon le droit de l’État chargé de la mise en œuvre.

La personne dont les données sont produites doit en principe être informée sans retard injustifié par l’autorité d’émission et disposer d’un recours effectif devant une juridiction de cet État. Cette information peut néanmoins être retardée, limitée ou omise lorsque les conditions prévues par la directive « police-justice », la directive (UE) 2016/680, dont l’article 13, §3 est le fondement du report d’information, sont réunies. De leur côté, le destinataire et le fournisseur doivent mettre en œuvre les mesures opérationnelles et techniques les plus modernes pour garantir la confidentialité, le secret et l’intégrité de l’injonction et des données.

Enfin, lorsqu’une injonction de production entre en conflit avec une obligation découlant du droit d’un pays tiers, le destinataire peut former, dans les dix jours, une objection motivée. Le seul stockage des données dans ce pays ne suffit pas. Si l’autorité souhaite maintenir l’injonction, la juridiction compétente de l’État d’émission procède, en application de l’article 17, §4, à un examen en deux temps : elle établit d’abord l’existence d’un conflit, en vérifiant que le droit du pays tiers est applicable puis qu’il interdit effectivement la divulgation dans les circonstances de l’espèce ; à défaut de conflit, l’injonction est maintenue. Ce n’est qu’en présence d’un conflit qu’elle met en balance les intérêts protégés par le droit du pays tiers, le degré de connexion de l’affaire et les liens du fournisseur avec les juridictions concernées, la gravité de l’infraction et les conséquences du respect de l’injonction, une importance particulière étant accordée aux deux premiers facteurs. L’exécution de l’injonction est suspendue pendant ce réexamen. Ce mécanisme sera particulièrement suivi par les groupes internationaux exposés à des obligations de divulgation ou de non-divulgation potentiellement concurrentes.

Le fournisseur devient un maillon de la coopération pénale européenne

L’importance du rôle confié aux opérateurs se mesure au régime de sanctions. Les États membres doivent prévoir des sanctions effectives, proportionnées et dissuasives et permettre l’imposition d’amendes pouvant atteindre 2 % du chiffre d’affaires annuel mondial total du fournisseur pour l’exercice précédent. Conformément à l’article 16, §10, ces sanctions pécuniaires visent les violations des articles 10, 11 et 13, §4, donc y compris le manquement aux obligations de confidentialité et de sécurité. Le règlement protège en retour le fournisseur contre la responsabilité pour le préjudice causé à ses utilisateurs ou à des tiers lorsque celui-ci résulte exclusivement du respect de bonne foi d’un EPOC ou d’un EPOC-PR, sans préjudice de ses obligations en matière de protection des données.

Il serait donc réducteur de traiter le dispositif comme une simple nouvelle adresse de réception des réquisitions. L’établissement désigné ou le représentant légal doit être doté des pouvoirs et des ressources nécessaires pour recevoir, authentifier et exécuter les injonctions. Il faut également organiser l’accès aux données au sein du groupe, la conservation probatoire, les validations juridiques, la sécurité des transmissions, la traçabilité des décisions et l’escalade des cas sensibles. Le délai de huit heures rend indispensable une chaîne de réponse testée avant l’entrée en application.

Une entrée en application sous tension

À moins d’un mois de l’échéance, la préparation demeure inégale. Le règlement d’exécution technique a bien été adopté le 28 juillet 2025, mais la transposition de la directive 2023/1544 devait être achevée le 18 février 2026. Le 27 mars 2026, la Commission européenne a ouvert une procédure d’infraction contre vingt-deux États membres, dont la France, pour défaut de communication d’une transposition complète.

Les représentants du secteur soulignent parallèlement les incertitudes entourant la disponibilité du système décentralisé, son articulation avec les outils nationaux existants et certaines limites techniques, à l’image du plafond de transmission de 25 Mo retenu par les spécifications. Dans une prise de position de juin 2026, EuroISPA appelle ainsi à une période de grâce liée à la mise à disposition effective de l’infrastructure. Le cadre juridique a toutefois lui-même anticipé une partie du décalage : l’obligation d’utiliser le système décentralisé n’est exigible qu’un an après l’adoption des actes d’exécution et l’article 24 organise, dans l’intervalle, le recours aux moyens de substitution les plus appropriés. À la date de rédaction du présent article, aucun report de la date d’application prévue par le règlement n’a été adopté. L’écart éventuel entre la maturité du dispositif et l’opposabilité des obligations constitue donc un risque immédiat pour les fournisseurs.

Un écho transatlantique : le CLOUD Act

Ce basculement dépasse le cadre européen : l’Union n’a pas inventé le déplacement du critère de rattachement que consacre l’article 1er du règlement. Cinq ans avant le paquet e-Evidence, le CLOUD Act du 23 mars 2018 avait tranché par la loi la question laissée ouverte par le contentieux Microsoft Ireland, dans lequel l’opérateur soutenait qu’une demande portant sur des données stockées en Irlande devait emprunter le circuit de l’entraide judiciaire. Le nouveau 18 U.S.C. § 2713 impose au fournisseur de services de communications électroniques ou d’informatique à distance de conserver, sauvegarder ou communiquer les données placées sous sa possession, sa garde ou son contrôle, « regardless of whether [they are] located within or outside of the United States ». La formule répond au « quelle que soit la localisation des données » du règlement : de part et d’autre de l’Atlantique, le critère de rattachement a cessé d’être le serveur pour devenir le lien juridique entre l’autorité et le fournisseur – l’établissement désigné ou le représentant légal d’un côté, le contrôle des données par une entité soumise à la juridiction américaine de l’autre.

Le parallèle s’arrête toutefois là où commence l’architecture institutionnelle. Le CLOUD Act ne crée pas d’injonction directement exécutoire d’un État vers un fournisseur étranger : sa seconde branche, codifiée à 18 U.S.C. § 2523, subordonne cet accès direct à des accords exécutifs conclus avec des « qualifying foreign governments », après certification par l’Attorney General, avec l’accord du Secretary of State, du respect de l’État de droit et des droits fondamentaux. Ces accords doivent limiter les demandes aux « serious crime », imposer un ciblage individualisé, interdire de viser intentionnellement une US person ou une personne située aux États-Unis, prévoir des procédures de minimisation et une réciprocité allant jusqu’à la levée des interdictions de divulgation opposables aux fournisseurs ; leur entrée en vigueur suppose un examen dans un délai de cent quatre-vingts jours par le Congrès, qui peut s’y opposer par résolution conjointe. Là où le règlement organise l’accès direct par un instrument unilatéral d’application immédiate entre États membres, le droit américain le conditionne à un accord négocié – l’hypothèse d’un accord global entre l’Union et les États-Unis, plutôt que d’accords bilatéraux avec chaque État membre, a fait l’objet d’un mandat de négociation donné à la Commission européenne par le Conseil en 2019 mais sans succès à ce jour. Hors accord international, une demande fondée sur le seul CLOUD Act se heurte d’ailleurs à l’article 48 du RGPD.

C’est enfin sur le conflit de lois que le miroir est le plus net. Le 18 U.S.C. § 2703(h) permet au fournisseur de saisir le juge américain dans les quatorze jours pour faire annuler ou modifier la procédure lorsqu’il estime raisonnablement que l’abonné n’est ni une US person ni un résident des États-Unis et que la divulgation créerait un risque matériel de violation du droit d’un « qualifying foreign government ». Le juge procède alors à une appréciation de comity analysis pondérant notamment les intérêts respectifs des deux États, les sanctions encourues par le fournisseur, la localisation et la nationalité de l’abonné, les liens du fournisseur avec les États-Unis et l’importance des informations pour l’enquête, les données devant être conservées mais non produites pendant l’instance. On reconnaît la structure de l’article 17 du règlement, évoquée plus haut : objection motivée dans un délai bref, suspension de l’exécution, mise en balance d’intérêts comparables. Ce régime spécifique de comity analysis n’est cependant ouverte qu’au bénéfice des États liés par un accord exécutif, les autres devant continuer de se fonder sur le le principe jurisprudentiel de courtoisie internationale qui demeure applicable y compris dans le cadre du Cloud Act. Pour les fournisseurs présents des deux côtés de l’Atlantique, l’enjeu n’est donc pas de choisir un ordre juridique, mais de tenir dans les deux la même discipline : qualifier vite, documenter, et savoir opposer un conflit de lois avant l’expiration de délais qui se comptent en jours.

Le règlement e-Evidence marque, en définitive, un déplacement du centre de gravité de la coopération judiciaire internationale, que le droit américain avait amorcé de son côté. La frontière pertinente n’est plus celle du lieu de stockage, mais celle de l’établissement désigné ou du représentant légal du fournisseur. En contrepartie de l’accès accéléré aux preuves, le texte exige de concilier dans des délais particulièrement courts efficacité de l’enquête, protection des droits fondamentaux, secrets protégés, sécurité des données et conflits de lois. Sa réussite dépendra autant de la préparation des autorités que de celle des entreprises placées au premier rang de son exécution. Dans un monde d’interdépendances multiples où les technologies jouent un rôle transnational majeur, il est à souhaiter que la logique d’accords et de reconnaissances mutuelles des procédures gagnent du terrain pour garantir les droits fondamentaux et la protection de l’ordre public. La souveraineté numérique passe aussi par ce chemin.

Sources officielles mentionnées dans le projet

• EUR-Lex – Règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation
• EUR-Lex – Directive (UE) 2023/1544 relative aux établissements désignés et représentants légaux
• Commission européenne – E-evidence: cross-border access to electronic evidence
• EUR-Lex – Règlement d’exécution (UE) 2025/1550 du 28 juillet 2025 relatif au système informatique décentralisé (JO du 29 juillet 2025)
• Commission européenne – Décisions d’infraction du 27 mars 2026
• EuroISPA – Closing the implementation gap before August 2026 (juin 2026)
• eucrim – Critical Issues in the New EU Regulation on Electronic Evidence in Criminal Proceedings
• ETSI – Norme TS 104 144 relative aux spécifications d’échange des preuves électroniques
• CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Pub. L. 115-141, div. V, 23 mars 2018 – 18 U.S.C. §§ 2523, 2703(h) et 2713

The post <strong>Règlement e-Evidence</strong> : l’accès transfrontière aux données change d’échelle appeared first on INCYBER NEWS.

Cet article a été réalisé en collaboration avec CNFCE

Le remplacement de l’humain par l’IA est une crainte légitime de nombre de professionnels, qu'ils appartiennent au secteur du numérique ou non. La formation apparaît comme une bonne manière de s’armer intellectuellement face à cette grande marée.

Cet article a été réalisé en collaboration avec CNFCE

Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.

En savoir plus

Sony commence à poser une note d'information sur la fin des disques PlayStation sur les boîtes de PS5. Si certains espéraient encore un rétropédalage, il va falloir se faire une raison.

La généralisation de la facture électronique crée, presque mécaniquement, un nouveau marché : celui des plateformes chargées de faire transiter les factures entre entreprises et administration fiscale. Éditeurs historiques de logiciels comptables, spécialistes de la dématérialisation, nouveaux entrants : la concurrence s’organise autour d’un statut désormais très convoité, celui de plateforme agréée. Le rôle central …

L’article PDP : la bataille des plateformes françaises de la facture électronique est apparu en premier sur FW.MEDIA.

Des chercheurs de Bitdefender ont mis au jour une campagne de malware distribuée via Discord et des forums de jeu, déguisée en version « indétectable » du script executor Xeno pour Roblox.

Nvidia ne ménage pas ses efforts dans la mise au point de modèles de raisonnement pour les véhicules autonomes et semble prêt à tout pour en faire des solutions de référence dans l’écosystème. Le géant des semi-conducteurs a présenté le 4 août Alpamayo 2 Super, un modèle vision-langage-action (VLA) open source à 34 milliards de paramètres, soit trois fois plus que les précédentes versions Alpamayo 1 (sorti en décembre) et Alpamayo 1.5 (en mars).

Si l’attention s’est longtemps concentrée sur les accélérateurs de calcul, la mémoire devient désormais l’un des principaux facteurs limitants des performances des centres de données. Un créneau qu’a choisi d’investir massivement Samsung avec son nouveau prototype V10 Bonding V-NAND, plus connu sous le nom de BV-NAND. Cette nouvelle génération de mémoire flash dépasse les 400 couches, contre un peu plus de 300 pour la génération précédente, grâce à une nouvelle technologie de wafer bonding, qui consiste à assembler plusieurs tranches de silicium afin d’augmenter la densité de stockage.

Les intelligences artificielles génèrent des images, écrivent du code et résolvent des problèmes complexes. Mais produisent-elles réellement quelque chose de nouveau ? Pour Tom Zahavy, chercheur chez Google DeepMind, les modèles actuels restent incapables du « saut » intellectuel qui permet de formuler une idée sans précédent.

[Deal du jour] Le Forfait Voyage 300 Go de YouPrice propose une (très) grosse enveloppe de data en France et 26 Go pour plus de 50 destinations à travers le monde, le tout pour moins de 15 € par mois.

En juillet 2026, notre équipe chez RESONEO a capturé et disséqué 1 200 réponses ChatGPT, 88 000 résultats de recherche et 26 900 pages distinctes pour répondre à une question : quand ChatGPT cite une page, d'où vient-elle ? Jérôme Salomon (Oncrawl) a guidé toute la partie cache. L'étude complète est publiée sur think.resoneo.com ; cet article en tire ce que les professionnels du search doivent retenir.

La version courte : le grounding de ChatGPT repose sur trois étages de stockage. Un index de discovery qui trouve les pages, un cache de lecture qui conserve la copie intégrale des pages déjà fetchées, et un petit lot de pages ouvertes en live. Chaque étage a ses règles, sa fraîcheur et ses angles morts. Une fois qu'on a ces trois étages en tête, le comportement de citation de ChatGPT cesse d'être mystérieux et redevient ce qu'il est : un système construit pour répondre au moindre coût.

Comment on sait tout ça

Notre extension chrome enregistre le flux de données brut que chatgpt.com envoie au navigateur, y compris des champs que l'interface n'affiche jamais. Jusqu'au 21 juillet 2026, ce flux contenait un champ result_source qui nommait le pipeline interne derrière chaque résultat de recherche. Quatre valeurs revenaient sans cesse : labrador, bright, oxylabs, serp. Aucune n'est documentée par OpenAI, qui ne parle publiquement que de « third-party search providers ».

Puis le champ a disparu du flux. Du jour au lendemain, sur tous les comptes qu'on surveille. Nous ré-identifions désormais chaque pipeline par ses signatures de format (longueur de snippet, forme des title...), avec un classifieur qui tombe juste environ 98 % du temps. La V5 de notre extension l'embarque en natif. Nous avons aussi fait tourner une flotte de comptes sur plusieurs tiers et plusieurs pays, rejoué les mêmes prompts via l'API d'OpenAI, et publié des pages canari sur notre propre domaine avec les logs serveur complets, pour voir exactement ce que les robots d'OpenAI récupèrent au lieu de le deviner.

Le casting des pipelines

Ce qu'on avait établi avant cette campagne, et qui tient toujours :

• labrador est le hub de retrieval maison d'OpenAI. En plus du web search, il renvoie des résultats news, academia (arXiv), Reddit et YouTube : il fonctionne comme un orchestrateur d'index internes, de dépôts ouverts type Wikipedia et de partenariats presse.
• bright et oxylabs, ce sont des résultats Google scrapés, achetés en live.
• P1/P2/P3 servent le shopping, depuis les feeds marchands propres à OpenAI, avec Google conservé en oracle pour les prix et les avis.
• B1/B3, Yelp et Tripadvisor servent le local, avec une subtilité : les liens affichés aux utilisateurs pointent vers Google Maps.

Le shopping et le local ne touchent jamais au web search. Si vous vendez des produits ou tenez un restaurant, votre bataille se joue dans les feeds marchands et les fiches locales, en plus des citations classiques. Cet article se concentre sur le versant web search, parce que c'est là que sont tombées les surprises.

Étage 1 : l'index, et Bing n'y est pour rien

Commençons par le résultat principal : OpenAI a son propre index web, et ce n'est pas Bing qui l'alimente. On l'a vérifié de trois façons. Seules 1,5 % des URLs labrador apparaissent dans le top 20 de Bing sur les mêmes fan-outs. Aucun snippet labrador ne correspond à un snippet Bing. Et Bing coupe les title à 75 caractères, alors que 24 % des title labrador dépassent allègrement cette limite. Le plus long qu'on ait capturé fait 289 caractères.

Cet index alimente la quasi-totalité des citations search en mode instant, le mode rapide servi aux utilisateurs gratuits. L'exception, ce sont les questions dont la réponse nécessite des données quasi en live (« qui a gagné le match hier soir »), où il partage à peu près 50/50 avec des résultats Google scrapés.

Maintenant, que contient concrètement un résultat de cet index ? Trois choses. L'URL. Le title complet de la page, jamais tronqué, même quand il est absurdement long. Et un snippet d'environ 200 caractères.

La construction du snippet mérite qu'on s'y arrête, parce que c'est l'intégralité du texte de votre page qui atteint le modèle en mode instant. Il est ancré sur votre H1, restitué en majuscules, plus tout le texte visible qui traîne immédiatement autour. Cen'est pas forcément le texte que vous choisiriez... Tout : le libellé de catégorie au-dessus du titre, l'attribut alt de l'image en dessous, la signature, la date de publication, un sommaire s'il est posé là. On a mesuré un cas où le snippet était à 100 % un sommaire et à 0 % du contenu. Ce qui occupe ces 200 caractères sera repris, et rien d'autre, et la meta description est totalement ignorée.

Encore une chose sur ce snippet : il ne dépend pas de la query. La même URL ressort avec le même snippet figé, que l'utilisateur ait demandé un prix, un historique ou des effets secondaires. Il est découpé à l'indexation et servi tel quel jusqu'au crawl suivant.

Au regard des standards du search moderne, c'est assez grossier... Le snippet indépendant de la query, c'est le genre de chose que la recherche web a abandonné il y a une vingtaine d'années, et le voilà en 2026 aux commandes de l'assistant IA le plus utilisé de la planète. On suppose que c'est un provisoire appelé à s'améliorer vite. En attendant, c'est là-dessus que votre contenu est jugé.

En comparaison, les résultats bright ressemblent exactement à ce qu'ils sont, des résultats Google : title coupés vers 60 caractères avec des points de suspension, snippets d'environ 160 caractères, meta description reprise une fois sur trois. Votre meta description ne sert à rien pour labrador et fonctionne toujours pour les pipelines alimentés par Google. 

Un routage économique, pas technique

Pourquoi OpenAI entretient-il les deux ? Le coût est la réponse.

En mode instant, ChatGPT doit répondre en quelques secondes et l'utilisateur ne paie généralement rien. Donc il n'interroge que ce qu'OpenAI possède déjà : le hub labrador. Aucune page n'est ouverte (zéro page ouverte dans 93 % des réponses instant capturées). La réponse est fondée sur des title et des snippets de 200 caractères, rien d'autre.

En mode thinking, l'utilisateur paie un abonnement et accepte d'attendre. Là, les outils chers sont invoqués : classements Google scrapés via bright (75 % des résultats search en thinking), et vraies ouvertures de pages par le robot ChatGPT-User. Une conversation thinking ramène une centaine de résultats répartis sur environ 28 domaines, contre environ 11 résultats en instant.

Tout ce qui coûte à OpenAI de l'argent (payer les prestataires de scraping) ou du temps (ouvrir des URLs, appeler des APIs live) est réservé au mode où les utilisateurs paient et patientent. 

Voilà pourquoi ça compte commercialement : plus de 90 % des utilisateurs de ChatGPT sont au tier gratuit. Gratuit veut dire instant, et instant veut dire labrador. Le pipeline dont personne n'avait entendu parler il y a six mois est celui qui décide de la visibilité dans l'immense majorité des conversations ChatGPT en cours en ce moment même.

Les chiffres du funnel rendent l'enjeu concret. Sur notre corpus, 61 332 URLs ont été remontées dans la sidebar de sources. 5 032 sont devenues la source principale d'une citation. 759 pages ont été réellement ouvertes, toutes en mode thinking. Une page ouverte finit citée 74 % du temps ; une page simplement remontée, mais non ouverte, 7 %.

Étage 2 : un cache de lecture partagé par tout le monde

C'est la partie que Jérôme Salomon a creusée avec nous, et elle a changé notre façon de comprendre « ChatGPT a visité ma page ».

À côté de l'index, ChatGPT entretient un cache de toutes les pages qu'il a fetchées un jour. Pas des snippets : des pages complètes, converties du HTML vers du markdown et stockées comme ça. Le cache est keyé sur l'URL et partagé entre tous les utilisateurs et tous les tiers. Si un utilisateur gratuit à Berlin pose une question sur une page qu'un abonné payant de l'Ohio a fait fetcher la semaine dernière, Berlin reçoit la copie de l'Ohio.

La logique de rafraîchissement est ce que les ingénieurs appellent du stale-while-revalidate. Une copie est considérée fraîche pendant environ 30 minutes. Dans cette fenêtre, tout le monde reçoit la version stockée et votre serveur ne voit rien passer. Au-delà de 30 minutes, l'utilisateur reçoit quand même la copie périmée immédiatement, et un fetch en arrière-plan la rafraîchit pour le suivant. Ce qui veut dire que le rythme de recrawl de vos pages est réglé par un seul signal : la fréquence à laquelle les utilisateurs de ChatGPT les demandent. Les pages populaires restent fraîches. Les autres vieillissent indéfiniment ; Jérôme a documenté des copies servies plus de 90 jours après le fetch, sans plafond d'éviction en vue. Votre header Cache-Control: no-store ? Ignoré. Votre noindex ? Ignoré aussi.

La conversion en markdown a sa propre personnalité. Les scripts, les iframes et le JSON-LD sont supprimés (oui, vos données structurées n'atteignent jamais le modèle par ce chemin). Les alt d'images survivent. Et le texte masqué en CSS est extrait quand même, ce qui veut dire que le robot lit des choses qu'aucun visiteur humain ne voit. On vous laisse méditer les implications, en notant que la détection de cloaking ne semble pas encore être le point fort d'OpenAI.

Deux limites dures encadrent chaque fetch. Le robot n'exécute pas le JavaScript, donc le contenu injecté côté client lui est invisible. Et les pages sont plafonnées à exactement 4Mo. Au-delà, la page n'est pas tronquée. Elle est rejetée d'un bloc avec une HTTP 400, et le modèle ne lit rien du tout. Une page trop lourde n'est pas lue en partie ; elle n'existe pas.

Une surprise se cache dans tout ça : un paramètre de l'API renvoie la date de crawl de la copie stockée d'une URL. Fetchez vos propres pages par ce biais et vous savez quand un utilisateur de ChatGPT a fait lire votre page pour la dernière fois. C'est une vraie métrique d'exposition, presque gratuite, et personne ne la regarde (merci Jérôme Salomon pour la trouvaille !).

L'angle mort analytics

Vous avez sans doute déjà vu utm_source=chatgpt.com dans vos rapports analytics. Ce paramètre est ajouté aux liens cliquables affichés aux utilisateurs. Il traque le clic sortant. Mais toutes les citations n'ont pas ce paramètre de tracking... Nous avons en effet observé que les pages que ChatGPT ouvre de lui-même en mode thinking ne contiennent pas d'utm_source dans les citations présentées aux utilisateurs.

Donc les pages que le modèle a réellement lues en entier, celles qui ont 74 % de taux de citation, ne laissent aucune trace utm. Si vous jaugez votre exposition ChatGPT en filtrant sur ce paramètre, vous comptez les clics et vous ratez les lectures. Surveillez aussi le user-agent ChatGPT-User dans vos logs serveur.

Le mystère : des citations venues de nulle part

Un résultat résiste à l'explication, et on aimerait l'aide de la communauté dessus.

Une partie des résultats qui atteignent le modèle n'ont aucun snippet, juste un title et une URL. On l'a constaté pour les résultats arXiv ou Reddit, qui viennent de bases de données pour lesquelles OpenAI a un accès direct, donc cela ne nous choque pas. Mais il y en a beaucoup d'autres.. Et voilà le plus étrange : en mode instant, les URLs sans snippet (hors Reddit, Youtube, arXiv) sont citées plus que les URLs avec snippet (14,9 % contre 8,2 %). Le modèle préfère citer les pages sur lesquelles il a lu le moins de choses.

Plus étrange encore, certains liens cités ne correspondent à aucun résultat de recherche. Notre hypothèse est que le modèle les écrit depuis sa mémoire paramétrique, la connaissance gravée dans ses poids à l'entraînement. Ce sont presque toujours des racines de domaines connus, consciencieusement suffixées utm_source=chatgpt.com comme si elles sortaient d'une recherche. Une part non négligeable de ce que ChatGPT finit par citer pourrait être simplement ce dont il se souvient, pas ce qu'il a récupéré. On observe le phénomène ; on ne sait pas encore le dimensionner précisément, et on accueillera volontiers les contradicteurs sur ce point.

Une bizarrerie voisine : arXiv a été remonté plus de 2 600 fois dans notre corpus et cité 10 fois. Reddit, même profil. ChatGPT lit des preprints et des forums pour réfléchir, puis montre au lecteur des pages web ordinaires. Être récupéré et être cité sont deux marchés différents.

Alors, faut-il écrire des title de 289 caractères ?

Soyons francs sur la tentation. Le title complet atteint le modèle sans troncature, donc il fait partie de votre budget de grounding. Les 200 caractères après votre H1 sont le seul texte du corps que le modèle voit en mode instant, donc décaler les libellés de catégorie, les dates et les widgets coincés entre votre H1 et votre première phrase utile améliore directement ce que ChatGPT sait de votre page. Ces deux leviers sont réels, mesurés, actionnables aujourd'hui.

Actionnez-les avec légèreté. Écrivez le title comme une phrase autoportante plutôt que comme un libellé optimisé pour la troncature. Faites porter votre message de fond par les 200 premiers caractères après le H1. Gardez un alt informatif près du haut de page. Gardez votre meta description quand même, parce que les pipelines alimentés par Google s'en servent toujours. Restez sous les 4 Mio et lisible sans JavaScript.

Mais ne reconstruisez pas votre site autour d'une bizarrerie. Tout ce que décrit cet article est un système qui évolue très vite : le champ result_source a disparu du jour au lendemain, les providers shopping ont été anonymisés la même semaine, et les tokens Google Shopping sont passés de lisibles à chiffrés en quatre jours. N'importe quel mécanisme documenté ici peut avoir disparu le temps que vous déployiez.

Deux faits structurels, en revanche, sont solides. Un : les LLMs ont un knowledge avec une date de cutoff, après laquelle ils ne connaissent plus rien, ils sont donc condamnés à s'appuyer sur des moteurs de recherche pour combler l'écart entre leurs données d'entraînement et aujourd'hui. Le retrieval restera une dépendance permanente de tout assistant IA. Deux : tous les moteurs sur lesquels ils s'appuient seront poussés vers une qualité de niveau Google, parce qu'un index rudimentaire produit des réponses rudimentaires et que les utilisateurs le remarquent. Le snippet de 200 caractères ne fera sans doute pas long feu... Le besoin d'être la meilleure réponse, non. C'est pour ça que les fondamentaux classiques, des pages crawlables, des title clairs, du contenu qui répond vraiment à la question, continuent de payer quelle que soit la plomberie.

La bataille durable : posséder les réponses aux vraies questions

Optimiser la mécanique du snippet, c'est de la tactique. La stratégie est en amont : savoir ce que les gens demandent réellement aux assistants IA, et être la source qui y répond.

Personne ne demande à ChatGPT « une poussette avec un châssis de 49 cm de large ». On lui demande « une poussette qui passe les portiques du métro ». Personne ne cherche la dureté de la mousse d'un casque audio ; on demande quel casque reste confortable quand on porte des lunettes. On demande quel canapé survit à un chat qui fait ses griffes. Cet écart entre la langue des fiches techniques et la langue des humains est exactement là où se joue la visibilité IA, parce que les assistants répondent à des questions conversationnelles avec le contenu qui s'y apparie le mieux.

Vous possédez déjà la moitié du corpus qui révèle ces questions : les avis clients, les conversations du support, les emails que vous recevez chaque jour, les enquêtes que personne n'a rouvertes. L'autre moitié vit hors de vos murs, dans ce qui se dit de vos produits sur les forums, les plateformes sociales, en vidéo, dans la presse et sur les blogs. Lisez les deux versants et les key benefits et pain points de vos produits ressortent dans les mots de vos clients, qui sont aussi les mots qu'entendent les assistants IA. Exploitez cette langue, répondez-y sur des pages que les robots peuvent lire, et vous optimisez pour tous les systèmes de retrieval à la fois, y compris ceux qu'OpenAI n'a pas encore construits.

Ce qui reste ouvert

Nous ne savons pas quel robot alimente l'index labrador ; nos pages canari ont vu OAI-SearchBot quasi muet pendant que l'index continuait de servir des résultats. Reddit est le cas facile, puisqu'OpenAI dispose d'un accès temps réel à la data API de Reddit via leur partenariat de 2024 ; YouTube est une autre histoire, sans accord public ni empreinte visible expliquant comment ces résultats entrent. Et la sur-citation des URLs sans snippet reste expliquée par une hypothèse.

La stack d'OpenAI devient de plus en plus difficile à observer. Des champs disparaissent du flux, des providers sont anonymisés, le routage change d'une semaine à l'autre, et l'ensemble se complexifie au fil du temps. Nous avons tout publié, méthodologie comprise, précisément pour que d'autres puissent challenger ces résultats ou pousser plus loin. L'étude complète, avec les données derrière chaque chiffre de cet article, est sur think.resoneo.com/chatgpt-retrieval.

L’article "Dans la stack de retrieval de ChatGPT : l’index, le cache, et les pages qu’il lit vraiment" a été publié sur le site Abondance.

L’Europe dispose d’excellents laboratoires de recherche, d’universités reconnues mondialement et d’un écosystème de création d’entreprises particulièrement dynamique. En revanche, elle rencontre toujours les mêmes difficultés lorsqu’il s’agit de transformer ces jeunes pousses en leaders internationaux. Pour combler ce retard, la Commission européenne lance le fonds ScaleUp Europe, doté d’un objectif de 5 milliards d’euros, désormais intégré au Fonds du Conseil européen de l’innovation (EIC).

Installer des robots mobiles pour automatiser les opérations de maintenance dangereuses pour les opérateurs humains dans les data centers : c’est en quelque sorte le credo de la start-up suisse Exclaim Robotics. Cette dernière sort de terre et a annoncé le 4 août une levée de fonds en seed de 4,95 millions de dollars (4,3 millions d’euros). Le tour de table a été mené par le capital-risqueur suisse Founderful et le britannique Playfair.

OpenAI a présenté trois nouveaux modules destinés à l'enseignement, un pour les professeurs du primaire et du secondaire, un pour ceux du supérieur, et un dernier pour les étudiants eux-mêmes.

Le premier passe par ChatGPT for Teachers, la version gratuite réservée aux enseignants vérifiés (pour le moment uniquement américains) et à leurs établissements. Il fabrique des ressources adaptées au niveau de chaque élève, produit des visuels interactifs et se branche sur les référentiels pédagogiques locaux.

Les deux autres arrivent par ChatGPT Edu, la formule sous licence que les universités achètent pour tout leur campus. Un enseignant du supérieur peut y mettre à jour son programme, monter un site de cours, produire des évaluations multimédias, et reconditionner l'ensemble pour la plateforme pédagogique de son établissement.

Les étudiants, eux, récupèrent un tuteur, des quiz générés à la volée, des fiches de révision et des explications en images. OpenAI précise qu'ils doivent définir leurs objectifs, choisir leurs sources et examiner ce que la machine leur sort.

L'orientation du projet tient en une phrase : l'IA devrait soutenir l'apprentissage et non le raccourcir. Mouais...

Le contexte rend cette approche un peu particulière en fait. La triche assistée par IA s'est installée comme une routine dans les écoles du monde entier, au point que l'Université nationale autonome du Mexique a suspendu des inscriptions après une fraude massive à ses examens d'entrée.

Les travaux qui s'accumulent ne vont pas d'ailleurs dans le sens d'OpenAI. Une étude du MIT a mesuré à l'électroencéphalogramme, l'examen qui enregistre l'activité électrique du cerveau, une activité nettement plus faible chez les étudiants qui rédigeaient avec l'IA. Le résultat est sans appel. Ces mêmes étudiants se souvenaient beaucoup moins bien de ce qu'ils venaient d'écrire.

Une autre enquête, publiée l'an dernier par le Center for Democracy and Technology, montre que les enseignants du primaire et du secondaire réclament surtout qu'on leur explique comment intégrer ces outils, et qu'ils redoutent aussi les dégâts sur les apprentissages.

Il y a un détail qui m'a fait un peu tiquer dans la communication d'OpenAI. La société prend soin de préciser que les enseignants gardent la main sur les décisions pédagogiques, sur la notation et sur les actions automatisées, ce qui laisse penser que la question s'est quand même posée en interne, et surtout qu'on est sur une première étape.

Source : The Register

10 ans après son lancement, l'Assistant Google s'arrêtera sur Android le 4 septembre. C'est l'intelligence artificielle Gemini qui prend le relai : Google juge la technologie est suffisamment mature pour ne plus avoir besoin de les faire cohabiter.

OpenAI a publié le détail de deux incidents survenus pendant des évaluations de sécurité confiées à des laboratoires extérieurs. Le plus notable des deux lui a été signalé le 29 juillet par Irregular, une société qui teste la résistance des modèles aux usages offensifs.

L'exercice était un capture the flag, le format classique des compétitions de sécurité où il faut dénicher une information cachée en exploitant les faiblesses d'un système, monté uniquement pour cette occasion. Le modèle avait été prévenu qu'il n'avait aucun accès à internet.

Il y a eu deux ratés. Une erreur de configuration laissait en réalité passer le trafic vers le réseau public, et le nom inventé pour la cible de l'exercice qui, ô hasard de la vie et des internets, correspondait à un vrai domaine déposé par un malheureux.

Le modèle a donc attaqué un site bien réel en croyant travailler sur la maquette. Il a trouvé des identifiants qui traînaient et s'en est servi pour administrer le site.

OpenAI insiste sur deux points. Aucune faille inconnue n'a été utilisée, juste une vulnérabilité basique, et le modèle n'a pas cherché à s'échapper de son bac à sable puisque la porte était déjà ouverte. Irregular n'a pour l'instant relevé aucun dégât en dehors des données du site concerné, et l'enquête continue.

Le même évaluateur a d'ailleurs vécu la scène deux fois. Un modèle Claude est tombé sur un autre vrai site portant le nom d'une cible fictive, y a repéré des services exposés, récupéré des identifiants et atteint une base de données de production.

Ces histoires commencent à s'empiler l'air de rien. En juillet, un modèle d'OpenAI était sorti de son environnement de test pour aller fouiller les serveurs de Hugging Face, la grande plateforme de partage de modèles, dans le seul but de tricher à une évaluation. Anthropic a reconnu fin juillet que les siens avaient pénétré trois entreprises pendant des tests.

Le cas qui m'a le plus choqué à titre perso, vient de l'institut britannique de sécurité de l'IA. Un modèle y a monté une attaque sur la chaîne d'approvisionnement d'un projet open source bien réel, en fabriquant de faux comptes GitHub et en faisant de l'ingénierie sociale sur ses mainteneurs, le tout derrière Tor histoire de brouiller son origine. L'institut parle de la première tromperie de cette gravité visant une vraie personne, non prévenue, dans le monde réel.

Le problème, c'est quand on se projette un peu, il est à peu près certain que ce genre de truc va se généraliser dans les mois et années à venir, et ça va devenir un vrai problème.

Source : Bleeping Computer

Le projet d'adaptation de Ready Player Two donne enfin un vrai signe de vie. Le scénariste Zak Penn vient d'officialiser ce que Warner Bros. gardait sous clé, l'écriture du script est bel et bien lancée.

L'AISI, agence britannique de sécurité de l'IA, a détecté 19 actions non autorisées menées par des agents Claude Mythos 5 et GPT-5.6 Sol sur l'internet réel, lors d'un test cyber censé rester confiné à un environnement simulé.

[Deal du jour] Besoin d'une manette pas chère pour jouer sur Switch 2 ? Ce modèle de PowerA est parfaitement recommandable à ce prix.

À l’issue d’une consultation publique, la Commission nationale de l’informatique et des libertés (Cnil) a adopté, le 12 mars 2026, une recommandation encadrant le recours aux pixels de suivi emailing.
La Cnil qualifie l’insertion d’un pixel dans un courriel d’opération de lecture sur le terminal de l’utilisateur, ce qui la fait entrer dans le champ d’application de l’article 82 de la loi Informatique et libertés, lequel transpose en droit français l’article 5, paragraphe 3, de la directive 2002/58/CE dite « ePrivacy ».
Cette qualification, reprise des lignes directrices 2/2023 du CEPD n’allait pourtant pas de soi : à la différence du cookie, qui procède d’une écriture sur le terminal, le pixel se borne à provoquer l’envoi d’informations vers l’expéditeur, sans qu’aucune donnée ne soit à proprement parler stockée sur l’équipement de l’utilisateur.
Il en résulte que le recueil préalable du consentement libre, spécifique, éclairé et univoque du destinataire, au sens de l’article 4, paragraphe 11, du RGPD, est requis, sauf à entrer dans le champ, limitativement défini, des exemptions.

Les pixels de suivi emailing assimilés au régime des cookies

La recommandation précise le champ des finalités soumises à consentement : mesure de performance à des fins d’optimisation des campagnes, personnalisation du contenu ou du canal d’envoi, constitution de profils à des fins de ciblage cross-canal et détection de fraude publicitaire. Le régime ainsi défini pour les pixels de suivi emailing est strictement indépendant du régime propre à l’envoi du courriel qui les héberge.
Un courriel de prospection peut ainsi être valablement adressé sans consentement au titre du soft opt-in de l’article L. 34-5 du Code des postes et des communications électroniques, ou dans le cadre d’une prospection BtoB en rapport avec la fonction du destinataire, sans que cette licéité ne s’étende pour autant au pixel qu’il contient : celui-ci demeure soumis, indépendamment de la base retenue pour l’envoi, à l‘article 82 de la loi Informatique et libertés et requiert donc un consentement distinct.
Cette dualité de régimes, propre à la matière des traceurs, oblige à distinguer, dans l’analyse de conformité, la licéité de l’envoi de celle du dispositif de mesure qu’il contient.

Les exemptions strictement encadrées par la Cnil

Certains usages échappent toutefois à cette exigence de consentement préalable, dès lors qu’ils demeurent strictement nécessaires au service demandé par le destinataire. Tel est le cas des pixels concourant exclusivement à la sécurisation d’une authentification, par exemple pour vérifier qu’un courriel contenant un code d’accès a bien été ouvert par son destinataire légitime.
La mesure de la délivrabilité bénéficie également d’une exemption, tant sous sa forme individuelle que globale, mais dans des limites strictement proportionnées : seule la date de la dernière ouverture d’un courriel, sans autre précision, peut être retenue afin de purger les adresses inactives d’une base de diffusion. Dès que cette mesure sert, en réalité, une finalité de personnalisation ou de ciblage, elle bascule dans le champ du consentement, y compris lorsqu’elle porte sur un courriel transactionnel tel qu’une confirmation de commande ou une réinitialisation de mot de passe.
Une troisième exemption, plus rarement mobilisée, couvre la conservation d’une trace d’ouverture destinée à démontrer le respect d’une obligation légale d’information, par exemple lorsqu’un texte impose de justifier qu’une information a effectivement été portée à la connaissance de son destinataire.

Un délai de mise en conformité fixé au 14 juillet 2026

S’agissant des adresses déjà collectées, la recommandation ménage un régime transitoire : le suivi peut continuer, à la condition qu’une information claire soit adressée aux destinataires dans un délai de trois mois suivant la publication du texte, soit avant le 14 juillet 2026, afin de leur permettre de s’opposer au suivi pour les courriels à venir.
Ce régime transitoire ne vaut que pour le stock d’adresses déjà collectées : il ne s’agit pas d’un re-consentement rétroactif, mais d’une simple obligation d’information assortie d’un droit d’opposition, s’inscrivant dans le prolongement de l’obligation d’information prévue à l’article 13 du RGPD.
Pour toute collecte de consentement postérieure à la publication de la recommandation, le droit commun s’applique sans ménagement : le consentement procède d’un acte positif et le silence du destinataire vaut refus.
La Cnil a annoncé des contrôles à compter de l’expiration de cette période transitoire. La formule prudente employée par la recommandation, qui évoque un délai ne devant, « en principe », pas excéder trois mois, laisse toutefois subsister une incertitude sur le caractère strictement impératif de cette échéance.
À défaut de valeur contraignante propre à une recommandation, le risque contentieux se déplacera vraisemblablement vers le terrain de la preuve de la diligence raisonnable du responsable de traitement, plutôt que vers celui du respect littéral du délai.

La notion de finalités connexes et la responsabilité du responsable de traitement

La Cnil admet qu’un consentement unique puisse couvrir à la fois la prospection commerciale directe et l’utilisation de pixels de suivi contribuant directement à la personnalisation de cette prospection, dès lors que ces finalités sont présentées comme connexes. Cette notion, absente tant du RGPD que des précédentes recommandations de la Cnil, ne fait l’objet d’aucune définition précise ; elle entre en tension potentielle avec le principe de limitation des finalités posé par l’article 5, paragraphe 1, sous b), du RGPD, et l’absence de critères objectifs de connexité pourrait fragiliser la prévisibilité du dispositif autant que la validité du consentement ainsi recueilli, ce point méritant d’être suivi avec attention.
Le recours à un prestataire technique n’emporte pas transfert de responsabilité : la qualité de responsable de traitement, au sens de l‘article 4, paragraphe 7, du RGPD, s’apprécie au regard de la détermination des finalités et des moyens, et non de l’exécution matérielle du dispositif. Est ainsi qualifié de responsable de traitement l’organisme ayant décidé l’envoi de la campagne, qu’il en soit ou non l’auteur technique, la plateforme d’emailing n’intervenant, le cas échéant, qu’en qualité de sous-traitant au sens de l’article 28 du RGPD, ce qui suppose l’existence d’un contrat de sous-traitance conforme.
Face à ces évolutions, une revue globale des pratiques existantes s’impose avant l’envoi de nouvelles campagnes : cartographie des usages de pixels et des finalités poursuivies, distinction entre usages techniques et usages marketing, vérification, pour chaque finalité, de la nécessité d’un consentement, adaptation des parcours de collecte, mise à jour du registre des traitements au titre de l’article 30 du RGPD et des politiques de confidentialité, et, selon l’ampleur du profilage en cause, examen de l’opportunité de réaliser une analyse d’impact sur la protection des données au sens de l’article 35 du RGPD.
À défaut d’un tel encadrement, l’entreprise s’expose à un risque de non-conformité et de sanction.
Les pixels de suivi emailing ne sont donc pas prohibés, mais leur licéité suppose désormais un consentement recueilli et documenté selon les modalités précisées par la Cnil. Les entreprises disposent d’ici la mi-juillet 2026 pour sécuriser leurs pratiques et éviter tout risque de contrôle.

Article coécrit avec Kenza Declercq, avocate, collaboratrice du département Droit de l’IA & Contentieux technologiques du cabinet Lexing.

Virginie Bensoussan-Brulé

Directrice du pôle Contentieux du numérique

L’article Pixels de suivi emailing : les nouvelles règles Cnil 2026 est apparu en premier sur Lexing Avocats.

Disney, Marvel Studios et Sony Pictures se sont accordés sur un point important concernant Spider-Man: Brand New Day. Il était en effet crucial que le rôle de Sadie Sink reste secret pendant la promotion.

Les formalités de voyage demeurent l’une des zones les moins fluides de l’expérience touristique. Réserver un vol ou un hôtel ne demande que quelques minutes, tandis qu’une demande de visa, d’autorisation électronique ou de déclaration préalable oblige souvent le voyageur à consulter plusieurs sources, à interpréter des consignes techniques et à ressaisir des informations sensibles. …

L’article TravelTech : comment HandleVisa digitalise l’accompagnement des voyageurs est apparu en premier sur FW.MEDIA.

Jonas Eschenburg se tape un petit délire cet été, en portant Command & Conquer sur Atari ST, et il vient de s'occuper des cinématiques du jeu, le tout sur une machine équipée d'un Motorola 68000 cadencé à 8 MHz. Le même garçon avait déjà fait tourner Doom dessus.

Le décalage vaut le détour. Command & Conquer sort en 1995 sur PC, en VGA 256 couleurs, soit dix ans après l'Atari ST, qui affiche lui 16 couleurs en 320 par 200 points.

Envoyer les pixels bruts à l'écran est hors de question sur ce genre de matériel. La machine n'a ni le débit de lecture ni la puissance de calcul pour ça.

Eschenburg a donc écrit son propre codec, baptisé STV, adapté du format VQA que Westwood utilisait à l'époque pour ses vidéos. Le principe repose sur un codebook, autrement dit un dictionnaire de petits carrés de pixels : au lieu de transmettre chaque image entière, le fichier envoie surtout des numéros qui pointent vers des motifs déjà connus du lecteur.

L'astuce est en réalité ailleurs. Les blocs sont découpés pour tomber pile sur l'organisation mémoire de l'Atari, qui range ses couleurs en plans séparés plutôt qu'en pixels contigus, ce qui permet au processeur de recopier les motifs sans passer son temps à réorganiser les bits.

La palette et le dictionnaire se mettent à jour en continu pendant la lecture, et pas une fois pour toutes au début du fichier. Ça évite le gros pâté de blocs baveux qu'on attendrait d'une compression aussi agressive.

Le tout fonctionne sur un 8 MHz d'origine. Sans accélérateur. A priori, aucun jeu Atari ST n'avait affiché de vidéo plein écran avant celui-là.

Le jeu, lui, reste beaucoup plus poussif pour le moment : quelques images par seconde en 16 couleurs, correct seulement à partir d'un Falcon, et il réclame 4 Mo de mémoire. Autour du codec, Eschenburg a publié une dizaine d'utilitaires, dont un encodeur pour fabriquer les fichiers STV et un lecteur natif pour les regarder sur la machine.

Tout est sous licence GPL sur GitHub, le portage se récupère sur itch.io, et il faut fournir ses propres fichiers du jeu d'origine puisque le projet n'a rien à voir avec EA.

Détail amusant, le son ne sort que sur STe et Falcon. Sur un ST de base, les cinématiques défilent en silence complet. La question étant maintenant de savoir si tout ça ne m'a pas donné envie de rejouer à Command and Conquer, pour ressortir mon premier pseudo de game : Moissonneuse killer (vraiment).

Source : Hackaday

Après avoir levé près de 1,4 milliard de dollars et atteint une valorisation de 11,7 milliards fin 2021 lors de sa série F, AIRTABLE s’apprête à être repris par l’italien BENDING SPOONS. Mais la décote de 81 % ne dit pas comment les pertes seront réparties. Entre trésorerie nette, actions préférentielles, ventes secondaires et stock-options, …

L’article Vente d’AIRTABLE : qui perd réellement de l’argent dans une sortie à 2,25 milliards de dollars ? est apparu en premier sur FW.MEDIA.

Des chercheurs ont démontré la toute première attaque agent contre agent en conditions réelles, en exploitant une faille dans le kit de développement d'agents IA de Google pour Python.

Les grands modèles de langage (LLM) parviendront-ils à résoudre aisément des problèmes mathématiques ouverts ? C’est en tout cas ce que veut prouver OpenAI. L’entreprise d’IA a présenté le 1er août dix résultats de recherche sur des problèmes ouverts “de longue date” en mathématiques et en informatique théorique, obtenus à l’aide d’une version interne d’Astra, sa prochaine famille de modèles d’IA.

C'est reparti pour un tour. Après avoir utilisé l'IA générative dans sa dernière vidéo pour promouvoir Stellar Blade: Blood Rain, le studio Shift Up ne digère visiblement pas les messages dénonçant ce recours à l'IA. Son PDG a décidé de prendre la parole, et le moins que l'on puisse dire, c'est qu'il n'est pas content.

Amazon vient de rejoindre le cercle très fermé des entreprises valorisées plus de 3 000 milliards de dollars de capitalisation boursière, après Apple, Microsoft, Alphabet et Nvidia. Le titre a progressé de près de 5% pour atteindre un nouveau record historique à plus de 285 dollars, portant sa hausse à plus de 23% depuis le début de l’année.

Microsoft a demandé à Apple, via le portail d'interopérabilité imposé par le DMA, de pouvoir synchroniser le presse-papiers d'un iPhone avec un PC Windows. Apple a accepté et détaille sa solution technique : un système d'extensions qui traite le PC comme un accessoire appairé. Il devrait être déployé avec iOS 28 entre 2027 et 2028.

Dix-huit mois après la réception de son premier prototype de surface, la Marine nationale poursuit son effort en direction de la lutte anti-mines. La Direction générale de l'armement vient de commander 12 nouveaux drones navals et sous-marins.

[Deal du jour] S'équiper à un bon prix en informatique afin de changer son équipement de travail est possible, à condition de trouver les bonnes offres. Cdiscount propose justement l'ordinateur portable Lenovo IdeaPad Slim 3 à un meilleur prix.

Au Mexique, 58 000 candidats vont devoir repasser l’examen d’entrée de la plus grande université du pays. Pourtant surveillée par une IA, cette épreuve à distance a été marquée par des résultats anormalement élevés et des soupçons de triche massive.

JFrog, une société spécialisée dans la sécurité de la chaîne logicielle, a passé au crible les 55 vulnérabilités déposées par un seul compte GitHub. Cinquante-quatre étaient entièrement fabriquées, une seule décrivait un vrai bug.

Six d'entre elles visaient SQLite, la petite base de données embarquée qu'on retrouve dans à peu près tous les téléphones et navigateurs de la planète, avec des scores de gravité affichés jusqu'à 9,8 sur 10. Les quarante-neuf autres s'en prenaient à libraw, une bibliothèque de traitement d'images, et à un module audio pour cartes ESP32.

Les rapports ne résistent pas à une vérification. L'un s'appuie sur une fonction qui n'existe pas dans la version de SQLite qu'il prétend attaquer. Un autre cite les lignes 3555 et 3575 d'un fichier qui n'en compte que 2706.

Ces failles n'ont été bloquées à aucune étape. Elles ont atterri dans le NVD, la base de référence américaine des vulnérabilités, avec un enrichissement fourni par la CISA, l'agence fédérale de cybersécurité, qui a validé les scores critiques au passage. Red Hat a dû redescendre l'une d'elles de 10 sur 10 à 7,6.

Le formulaire public par lequel on déclare une faille ne vérifie pas sérieusement l'identité du déclarant. Aucune étape du processus n'exige de preuve de concept ni la moindre reproduction du bug. Un texte plausible suffit.

Le reste est automatique. La fiche descend dans les bases dérivées, puis dans les scanners que les entreprises font tourner sur leur propre code, et une équipe finit par chercher un correctif à un problème qui n'a jamais existé. MITRE, l'organisme qui attribue ces identifiants, a rejeté le lot le 1er août.

Le NIST, chargé d'analyser ces fiches, avait déjà plus de 27 000 vulnérabilités en attente fin 2025, et un rapport officiel de mai dernier lui reprochait un manque de planification et de décision.

Les mainteneurs de logiciels libres décrochent. Le projet curl a fermé son programme de primes début 2026, après sept ans, son taux de rapports confirmés étant passé de 15 % à moins de 5 % sous le déluge de textes générés par IA.

Daniel Stenberg, qui le maintient, a ensuite fermé le guichet aux signalements du 1er juillet au 3 août. Bref, ce qui faisait tenir le système, c'est que fabriquer un faux rapport crédible demandait du temps à quelqu'un.

Source et visuel : The Register et JFROG

Le baromètre DegroupTest de juillet 2026 place Orange en tête des débits fibre avec 799 Mb/s, mais avec seulement six mégabits devant Bouygues Telecom. DegroupTest écrit que « Orange se fait rattraper par Bouygues Telecom »… sauf que son classement ne veut pas dire grand chose. Il y a dix-huit mois, ce même classement sacrait Free, puis Bouygues Telecom.