Tech-fr publisher

[Deal du jour] Cette batterie externe INIU Ultra en promotion est l'alliée des voyages. Avec ses 20 000 mAh, elle permet de recharger jusqu'à trois appareils en simultané, dans un format compact qui se glisse dans un sac.

[Deal du jour] Logitech a bousculé le marché des souris gamer avec la PRO X2 Superstrike et sa technologie haptique inédite. Amazon propose le coloris Lunar Eclipse à 149,99 € au lieu de 179,99 €, soit 30 € d'économie sur l'une des références du jeu compétitif.

Trois actualités à retenir cette semaine dans le cyberespace : le fabricant de portefeuilles Bitcoin Coinkite reconnaît l'ampleur d'un piratage massif dû à un bug vieux de 2021, OpenAI reconstitue comment ses agents autonomes ont créé leur propre forum secret avant de pirater Hugging Face et l'Armurerie Lavaux devient la dernière victime en date d'une série de fuites visant les tireurs français.

Quelques semaines après de premières informations sur le développement d’une enceinte connectée par OpenAI, le projet se précise. Mark Gurman de Bloomberg a ainsi révélé le 6 août que le créateur de ChatGPT travaillait sur un appareil sans écran, qui aura la forme d’un donut de la taille d’un palet de hockey, avec un design haut de gamme et des matériaux nobles. Équipé de plusieurs haut-parleurs, microphones et de caméras pour analyser l’environnement de l’utilisateur, l’appareil à piles devrait pouvoir fonctionner dans différentes positions, qu’il soit posé sur une table ou tenu en main.

En interrogeant l'intelligence artificielle de Google sur le jeu indépendant Operation Octo, un joueur a obtenu le nom exact d'un personnage encore secret. Son créateur assure ne l'avoir écrit que dans un document Google privé. Mais cette apparente fuite, impossible à reproduire, pourrait cacher une explication moins spectaculaire.

Le projet de constellation souveraine IRIS² passe enfin en phase de fabrication. Un coup d'accélérateur majeur pour l'autonomie spatiale de l'Europe, même si la riposte à Starlink devra attendre 2029.

Alors que l’avenir des supports physiques s’annonce compliqué, notamment après l’annonce de Sony de mettre fin à la production de disques physiques d’ici janvier 2028, Capcom ne semble pas particulièrement inquiet.

[Deal du jour] Philips possède une gamme de téléviseurs élégants et performants dotés d’une dalle QLED et de l’Ambilight, dont ce très grand modèle de 75 pouces bénéficie en ce moment d’une réduction de 100 €.

Le Groupe Crédit Agricole figure parmi les plus grandes institutions financières d’Europe avec un bénéfice net de 4,88 milliards d’euros sur les six premiers mois de 2026, plus de 21 millions de client et un plan d’investissement de 500 millions d’euros dans les systèmes d’IA. Une cible attractive donc, puisqu’il a subi une vaste campagne de phishing, deux mois après que la Banque centrale européenne (BCE) ait alerté sur les risques de cybersécurité révélés par les derniers modèles d’intelligence artificielle.

Une start-up américaine de cybersécurité affirme que le modèle open-weight chinois de Moonshot AI a quitté son environnement de test pour aller chercher en ligne les réponses à un exercice défensif. Un nouvel épisode dans la série des dérapages d'agents IA cet été.

Ce qu'il faut retenir :

• Le e-commerce français a atteint 196,4 milliards d'euros de chiffre d'affaires en 2025, soit une hausse de 7 % par rapport à 2024, avec 3,2 milliards de transactions réalisées (+11 %).
• 42,2 millions de Français ont acheté en ligne au cours des 12 derniers mois, soit 72,9 % des plus de 15 ans, avec un usage désormais multi-écrans pour plus d'un e-acheteur sur deux.
• Le commerce agentique s'impose comme une tendance de fond : 94 % des marchands ont déjà adopté des solutions d'IA générative et près d'un cyberacheteur sur trois les intègre dans son parcours d'achat.
• Les places de marché continuent de gagner du terrain et concentrent désormais 32 % du volume d'affaires des ventes de produits en ligne.

Un marché qui retrouve des couleurs après la crise inflationniste

Après deux années marquées par la pression inflationniste, le e-commerce français repart de l'avant. Le chiffre d'affaires du secteur s'établit à 196,4 milliards d'euros en 2025, en progression de 7 % sur un an. Cette croissance se répartit entre deux dynamiques bien distinctes : les services, qui atteignent 120,3 milliards d'euros (+9 %), et les produits, qui renouent avec la croissance à 76,1 milliards d'euros (+4 %) après deux années de repli.

Ce redémarrage des ventes de produits est présenté par la Fevad comme le signal le plus encourageant de cette édition. Il confirme que la crise inflationniste de 2023 est bel et bien refermée, sans pour autant effacer son empreinte sur les comportements d'achat : le panier moyen continue de baisser et s'établit désormais à 62 euros, preuve que les Français achètent plus souvent, mais avec plus de vigilance sur les prix.

Le nombre de transactions suit la même trajectoire ascendante, avec 3,2 milliards d'opérations enregistrées en 2025, soit une progression de 11 % par rapport à 2024. Le e-commerce représente aujourd'hui 12 % du commerce de détail et près de 30 % de l'activité sur les principaux univers non alimentaires, comme l'équipement de la maison (32 % de part de marché) ou l'habillement (30 %).

Des acheteurs toujours plus nombreux et toujours plus mobiles

En France, 42,2 millions de personnes de plus de 15 ans ont acheté en ligne au cours des douze derniers mois, soit 72,9 % de cette population, et 80 % des 16-74 ans. La progression est continue, avec 0,6 million d'e-acheteurs supplémentaires en un an.

Le profil de ces acheteurs révèle des écarts marqués selon l'âge et la catégorie socioprofessionnelle. Les 30-44 ans affichent le taux d'achat en ligne le plus élevé (90,8 %), tandis que les 75 ans et plus restent en retrait (25,9 %). Du côté des catégories professionnelles, les cadres et professions intellectuelles supérieures se distinguent nettement avec 96,5 % d'acheteurs en ligne.

Autre tendance de fond : la multiplication des écrans utilisés pour acheter. 55 % des e-acheteurs sont désormais multi-écrans. Si l'ordinateur reste le support privilégié (76 % d'utilisateurs), le mobile progresse rapidement et gagne sept points en un an, pour atteindre 69 % d'utilisateurs.

Le paiement et la livraison, deux terrains d'innovation constante

Le paiement par carte bancaire demeure archi-dominant, utilisé par 92 % des cyberacheteurs. Mais les alternatives s'installent durablement dans les habitudes : points de fidélité et cartes cadeaux (76 %), portefeuilles numériques (57 %), prélèvement (48 %) ou encore paiement fractionné, désormais utilisé par 21 % des acheteurs et déjà testé par 51 % des cyberacheteurs au moins une fois.

Sans surprise, la sécurité reste la préoccupation numéro un des e-acheteurs : 94 % jugent important d'évoluer dans un environnement de paiement sécurisé, devant la simplicité du parcours (92 %) et les modes de paiement proposés (87 %).

Côté livraison, la livraison à domicile reste le mode privilégié, utilisée par 77 % des e-acheteurs. Mais les solutions hors domicile, points relais en tête (76 % d'utilisateurs), progressent fortement et représentent désormais 46 % des usages, portées par une demande croissante de flexibilité.

L'intelligence artificielle bouleverse déjà les pratiques

C'est le fait marquant de cette édition selon Marc Lolivier, délégué général de la Fevad : près d'un cyberacheteur sur trois intègre déjà l'intelligence artificielle dans son parcours d'achat. Ce chiffre grimpe à près de trois sur quatre parmi les utilisateurs réguliers d'IA.

Du côté des professionnels, le mouvement est encore plus net. 94 % des marchands déclarent avoir adopté au moins une solution basée sur l'IA générative, et 87 % d'entre eux constatent déjà des évolutions concrètes sur les compétences et les process au sein de leur entreprise. Le commerce agentique est perçu comme l'une des innovations les plus prometteuses à trois ans par 69 % des dirigeants interrogés, juste derrière l'IA générative elle-même.

Pour les consommateurs, l'usage de l'IA reste concentré en amont de l'achat : 58 % des utilisateurs réguliers s'en servent pour la recherche et l'aide à la décision, contre seulement 27 % au moment du paiement et 35 % pour le suivi après achat.

La seconde main, un réflexe désormais installé

Autre évolution notable : plus de 4 cyberacheteurs sur 10 (41,4 %) ont acheté au moins un produit d'occasion en ligne au cours des 12 derniers mois. Ce mode de consommation ne se substitue pas au neuf, il le complète. Dans la mode par exemple, 30 % des acheteurs combinent achats neufs et seconde main, une proportion similaire dans les jeux et jouets ou les produits culturels physiques.

L’article "E-commerce en France : le cap des 200 milliards d’euros bientôt franchi" a été publié sur le site Abondance.

Bien lancé sur le segment des taxis autonomes, Uber emploie les grands moyens pour faire de sa plateforme une référence dans le secteur. À l’occasion de la publication de ses résultats du second semestre ce 5 août, la multinationale américaine a présenté sa stratégie visant à dépenser 10 milliards de dollars (8,66 milliards d’euros) dans les taxis autonomes au cours des prochaines années.

Elon Musk avait prévenu : “Soit nous construisons Terafab, soit nous n’avons pas les puces”. Un projet qui prend aujourd’hui un peu plus corps puisqu’il est annoncé dans le comté de Grimes au Texas, avec une usine intégrée de près de 9,3 millions de mètres carrés, pour un investissement initial de 16,8 milliards de dollars.

Une étude américaine révèle que de courtes nouvelles produites par ChatGPT ont été jugées plus captivantes et de meilleure qualité que des textes humains. Mais cette préférence disparaît en partie dès que l’étiquette « écrit par une IA » apparaît.

Neuf ans après l'iPhone X, Apple devrait annoncer son smartphone le plus ambitieux de la décennie en 2026 : l'iPhone Fold (qui pourrait s'appeler iPhone Ultra). Un smartphone pliant qui devrait être accompagné de l'iPhone 18 Pro et de l'iPhone 18 Pro Max, deux smartphones surpuissants avec des innovations en photo et une puce gravée en 2 nm. Numerama fait un point sur les rumeurs.

L'entreprise américaine a confirmé la constitution d'une équipe silicium interne, tout en maintenant une approche multi-fournisseurs.

Apple vient d'augmenter la valeur de reprise de nombreux iPhone dans le cadre de son programme Trade In. Les gains sont modestes sur la plupart des modèles, mais peuvent encourager à aller faire recycler un ancien appareil. Une bonne occasion de fouiller dans ses tiroirs, d'autant plus que la reprise directement en Apple Store évite certaines mauvaises surprises des plateformes spécialisées.

Aujourd’hui, l’un des principaux défis pour les vendeurs en ligne est d’identifier les canaux de distribution les mieux adaptés à leurs produits. Cette décision dépend des ressources de chacun et de l’objectif poursuivi. Les deux modèles les plus courants sont la vente via une boutique web et le référencement sur des marchés en ligne, tels …

L’article Boutique web ou marché en ligne ? Choisissez la plateforme de vente idéale pour votre croissance est apparu en premier sur FW.MEDIA.

CHERRY a annoncé deux appareils à carte à puce, un clavier complet avec lecteur intégré baptisé Smart Board 1150, et un terminal séparé, le Smart Terminal ST-1150. Ils remplacent le KC 1000 SC et le ST-1144.

Une carte à puce sert ici à prouver qui vous êtes. Vous l'insérez, elle signe électroniquement un document, elle ouvre une session sur un réseau ou elle déchiffre un fichier, sans que la clé privée qu'elle contient ne sorte jamais de la puce.

Les deux appareils s'appuient sur le pilote CCID que Microsoft livre déjà dans Windows, et sur pcsc-lite sous Linux et macOS. La norme CCID permet à un lecteur de dialoguer avec le système d'exploitation sans code maison, et pcsc-lite en est l'implémentation libre côté Unix.

Aucun pilote propriétaire à installer, donc. Vous branchez et ça fonctionne, y compris sur une machine Linux, ce qui est encore assez rare pour ce type de matériel.

Screenshot

Les deux modèles embarquent aussi un contrôleur à mémoire flash, et le firmware peut être mis à jour après le déploiement. Ce genre de lecteur était jusqu'à présent figé pour toute sa durée de vie, avec les failles qu'il avait le jour de sa fabrication.

Le communiqué ne dit hélas rien sur la signature de ces mises à jour. Sur un périphérique de sécurité, la question n'a rien de cosmétique, parce qu'un firmware modifiable est aussi un firmware attaquable si personne ne vérifie d'où vient l'image installée.

Le terminal lit et écrit les cartes, pour ouvrir une porte, se connecter au réseau de l'entreprise ou valider une transaction en ligne. Il est fabriqué entièrement en Europe. CHERRY veut clairement faire les yeux doux aux administrations et aux organismes de défense, avec les certifications américaines TAA et FIPS-201 au passage, et une base lestée en métal qui permet d'y glisser la carte d'une seule main.

Le clavier ajoute pour sa part une touche Copilot, ce qui sur un poste à données sensibles est quand même quelque peu audacieux. Il existe aussi en version conforme au Trade Agreements Act américain, pour les agences fédérales et les installations militaires soumises à des règles d'approvisionnement particulières, mais bon a priori ça ne devrait pas trop vous concerner (même si on a de plus en plus de lecteurs américains depuis que le site est traduit !).

Le Smart Board 1150 est vendu 49,99 euros. Le Smart Terminal ST-1150 descend à 34,99 euros, et les deux sont disponibles dès maintenant.

J'avoue que je ne pensais plus voir sortir de nouveaux lecteurs de carte à puce en 2026.

Source : Cherry

Mistral AI a présenté Shieldstral, un nouveau modèle de sécurité multimodal en open weight destiné à filtrer et contrôler les contenus produits ou analysés par des systèmes d’intelligence artificielle. Disponible sous licence Apache 2.0, il peut être déployé localement avec des ressources limitées, notamment sur un seul GPU équipé de 16 Go de mémoire.

Sa particularité réside dans son fonctionnement : plutôt que de s’appuyer uniquement sur des catégories de risques prédéfinies, les développeurs peuvent définir leurs propres règles de modération en langage naturel. Le modèle évalue ensuite si un texte ou une image respecte ces critères, avant ou après la génération de contenu.

Mistral affirme que Shieldstral offre des performances comparables, voire supérieures, à celles de modèles de sécurité open source beaucoup plus volumineux, avec des résultats élevés sur les tests de sécurité textuelle et multimodale. Le modèle prend en charge douze langues et est disponible sur Hugging Face.

The post Mistral dévoile Shieldstral pour sécuriser les contenus IA appeared first on INCYBER NEWS.

AXA XL a annoncé, le 6 août 2026, avoir conclu un accord en vue de l’acquisition des actions restantes de S-RM, cabinet international spécialisé dans la cybersécurité et l’intelligence d’entreprise. La division du groupe AXA dédiée aux risques P&C et de spécialités détient actuellement environ 49 % du capital de l’entreprise. 

Fondé en 2005, S-RM intervient notamment dans l’évaluation des risques cyber, la détection et la réponse aux incidents, les investigations spécialisées, l’intelligence géopolitique et la due diligence. Le cabinet compte neuf bureaux sur six continents et accompagne des clients dans plus de 140 pays. 

Une fois l’opération finalisée, S-RM doit rejoindre AXA XL Risk Advisory, la nouvelle business unit de l’assureur consacrée à la prévention. Le cabinet doit continuer à fournir ses services à sa clientèle internationale au sein de cette structure. 

Créée en mai 2026, AXA XL Risk Advisory doit permettre au groupe de développer ses capacités de conseil et de prévention en combinant expertise en gestion des risques, données et technologies. AXA XL avait également annoncé en juin un partenariat avec Deloitte portant sur des services de cybersécurité et de sécurité des technologies opérationnelles destinés à ses clients. 

L’acquisition de S-RM confirme ainsi la volonté de l’assureur d’étendre son intervention au-delà du seul transfert financier du risque, en développant des capacités de prévention, d’analyse et de réponse aux incidents.

« L’acquisition de S-RM constitue une étape clé dans le développement d’AXA XL Risk Advisory », déclare Scott Gunter, CEO d’AXA XL. Selon le groupe, l’opération doit notamment renforcer ses capacités d’accompagnement face aux risques émergents. 

AXA XL et S-RM travaillent ensemble depuis plus de quinze ans. Durant cette période, l’assureur a été à la fois client et investisseur du cabinet. 

The post AXA XL va acquérir la totalité du cabinet de cybersécurité et d’intelligence S-RM appeared first on INCYBER NEWS.

Une limite historique de ChatGPT va disparaître : OpenAI annonce que les utilisateurs gratuits pourront désormais discuter autant qu'ils le souhaitent avec GPT-5.6 Luna, son nouveau modèle conçu pour la rapidité. L'entreprise mise sur cette distinction pour battre ses rivaux.

Anthropic est en train de mettre sur pied une équipe dédiée à la conception de puces spécialisées dans les calculs pour l’IA. La start-up veut co-concevoir ses modèles d’IA et des accélérateurs dédiés pour mieux répondre à la forte demande à laquelle il fait face, et ce à moindre coût. L’information, qui avait fuité ces dernières semaines, a été confirmé par Anthropic à Business Insider.

Huit ans après avoir commencé à développer ses premiers camions autonomes, Pony.ai passe à la vitesse supérieure. La société sino-américaine annonce ce 6 août vouloir accélérer le déploiement de ses camions légers autonomes et passer le cap des 100 000 unités produites à horizon 2030.

Les agents IA peuvent enchaîner des dizaines d’appels de modèles, utiliser des outils externes, acheter des services et recommencer plusieurs fois une opération sans que l’entreprise sache précisément ce que chaque mission lui a coûté. Alors que les budgets consacrés à l’intelligence artificielle subissent leurs premiers audits, une nouvelle couche d’infrastructure, à l’instar de SAPIOM, …

L’article Avec 35 millions de dollars, SAPIOM veut devenir le contrôleur de gestion des agents IA est apparu en premier sur FW.MEDIA.

Grand chamboulement au sein de Google DeepMind cette semaine avec le départ ou la mise en retrait de plusieurs dirigeants, à commencer par son CEO et cofondateur Demis Hassabis. Il va passer à un rôle de président de l’organisation (chairman), ainsi qu’à celui de Chief Scientist d’Alphabet. Pour rappel, DeepMind est la division de Google en charge de la recherche en intelligence artificielle.

Xbox va enfin mettre à jour son système de succès avec une fonctionnalité réclamée depuis longtemps. C'est la nouvelle PDG, Asha Sharma, qui l'annonce, sans toutefois préciser quand.

Google sabre plusieurs fonctionnalités de Gmail, pour sa version web.

Ce qu'il faut retenir :

• Les recherches « tenues de festival été » ont augmenté de +400 % sur Pinterest, signe que les festivaliers préparent leurs looks bien avant les premiers concerts.
• Six grandes tendances se dégagent : maximalisme tropical, style pirate, indie sans effort, pop Y2K, transparence euphorique et esthétique « grand drama ».
• Pinterest lance un partenariat inédit avec Le Touquet Music Beach Festival, avec un tableau dédié pour planifier ses tenues, ainsi que des contenus exclusifs et des challenges créatifs sur place.
• L'esthétique « showgirl » explose littéralement, avec une hausse de +945 % des recherches associées.

Du maximalisme tropical au style pirate

La tendance qui écrase toutes les autres, c'est le maximalisme tropical. Plumes, franges et paillettes dorées s'y mêlent dans une ambiance de carnaval, portée notamment par l'explosion des recherches « esthétique showgirl » (+945 %). On y retrouve aussi les tenues « tropicoqueta » (+105 %) et les robes à franges dorées (+30 %).

À l'opposé, le style piratecore mise sur le récup et l'imperfection assumée : ceintures superposées, suédine usée et maquillage légèrement baveux. Les recherches de maquillage yeux pirate grimpent de +330 %, tandis que les mini-jupes en suédine progressent de +195 %.

Indie, pop et transparence : trois façons différentes de vibrer

Le style indie sans effort séduit les nostalgiques de l'esthétique rock des années 2000 : t-shirts de groupes chinés, chemises en flanelle usées et allure décontractée mais pointue. Les recherches de tenues rock années 2000 et d'outfits shoegaze progressent chacune de +60 %.

À l'inverse, la tendance pop Y2K joue la carte de l'excès assumé, avec des jeans aérographés (+75 %) et l'esthétique « Frutiger Aero » (+40 %), qui mélange brillance techno et maximalisme pop.

Autre ambiance avec la tendance « sheer euphoria » : organza transparent et soies oversize pour des looks doux et émotionnels, pensés pour les moments de complicité entre amis sur le dancefloor. Les jupes transparentes street style et les chemises en organza progressent toutes deux de +60 %.

Le grand drama, ultime tendance de la saison

Dernière esthétique repérée par Pinterest : le grand drama, où l'exagération devient la règle. Chaussures dépareillées, maquillage contrasté et superpositions audacieuses composent des looks pensés comme de véritables costumes. Les recherches de tenues dépareillées bondissent de +75 %, celles de maquillage dramatique des yeux de +45 %.

L’article "Pinterest dévoile les tendances mode de la saison des festivals 2026" a été publié sur le site Abondance.

Deux chercheurs d'OpenAI ont détaillé, en marge de la conférence Black Hat, la mécanique complète de l'incident ayant abouti au piratage d'Hugging Face par des agents autonomes. Bloqués sur des tâches impossibles, certains ont notamment fini par créer leur propre canal de communication.

Naomi Bashkansky a quitté OpenAI pour rejoindre Conduit, une startup qui veut convertir l’activité cérébrale en instructions pour des agents d’IA comme Codex. Son pari : remplacer un jour les prompts par un simple bandeau neuronal.

L’arrivée de taxis autonomes à Londres se précise. Uber et Wayve, qui planchent sur un service de taxis autonomes dans la capitale britannique dans les prochains mois, ont annoncé le 5 août avoir obtenu l’autorisation de l’organisme responsable des transports en commun Transport for London (TfL) leur permettant de disposer de licences de VTC.

Le géant américain lance en bêta son propre agent de codage IA, misant sur des prix cassés pour bousculer un marché ultra-concurrentiel.

Considéré comme l’un des architectes de l’intelligence artificielle moderne, Demis Hassabis était devenu le visage de Google dans la révolution des LLM. Le prix Nobel de chimie abandonne la direction opérationnelle de Google DeepMind et va se consacrer à la recherche scientifique et à l’AGI dans un nouveau poste taillé sur mesure. Wall Street a sanctionné l’annonce, tombée le même jour que le départ de Jeff Dean après 27 ans chez Google : l’action Alphabet a perdu 4,05 %.

Le problème, révélé par un utilisateur de Reddit puis documenté par WIRED, concernait uniquement les conversations que les utilisateurs avaient choisi de partager via un lien public. Certaines d’entre elles ont été indexées par Google et Bing, permettant de les retrouver directement depuis les moteurs de recherche grâce à une requête ciblée. Parmi les échanges exposés figuraient notamment des questions juridiques, politiques ou encore personnelles. 

Une protection technique jugée insuffisante

Selon WIRED, Anthropic empêchait déjà les robots d’exploration d’accéder à ces pages via un fichier robots.txt. Toutefois, ce mécanisme n’empêche pas systématiquement l’indexation d’une page lorsqu’elle est liée depuis d’autres sites. Google et Bing recommandent également l’utilisation d’une balise noindex, absente des pages concernées au moment des faits. 

Google a retiré les résultats

Depuis, Google a supprimé les conversations de son index, tandis que Bing affichait encore plusieurs centaines de résultats lors de la publication de l’enquête. Anthropic rappelle que les conversations sont privées par défaut et que les liens de partage ne deviennent accessibles qu’à la demande de l’utilisateur. L’entreprise recommande aux utilisateurs de gérer leurs conversations partagées depuis les paramètres de confidentialité. 

The post <strong>Claude AI</strong> : des conversations indexées par Google appeared first on INCYBER NEWS.

Meta a reconnu que son modèle Muse Spark 1.1 avait compromis les systèmes d'une société extérieure au cours d'une évaluation de cybersécurité. L'entreprise touchée n'a pas été identifiée.

Le déroulé est assez simple, une erreur de configuration a laissé le modèle atteindre l'internet public depuis son environnement de test, après quoi il a exploité une faille dans un service tiers et modifié les réglages internes de la société visée.

Cet environnement de test c'est le bac à sable. Une machine coupée du reste du monde, censée laisser un logiciel s'agiter sans qu'il puisse toucher quoi que ce soit de réel.

Le partenaire chargé de ces évaluations s'appelle Irregular. Le nom vous dit peut-être quelque chose, puisque c'est exactement le même prestataire qui avait laissé passer un modèle d'OpenAI vers un vrai site web, dans une affaire révélée la veille.

Dans ce cas-là, le nom inventé pour la cible de l'exercice correspondait à un domaine réellement déposé, et le modèle avait fini par récupérer des identifiants et administrer le site.

Anthropic avait ouvert le bal fin juillet en reconnaissant que ses propres modèles avaient pénétré trois entreprises pendant des tests.

Irregular assure de son côté qu'il s'agit du même problème d'environnement de test que celui déjà signalé par Anthropic, et pas d'une évasion de bac à sable ni d'une attaque sophistiquée.

Sauf que le point qui pose vraiment problème est ailleurs. Trois éditeurs différents, un seul prestataire d'évaluation, et la même erreur de configuration qui laisse un modèle sortir sur le réseau public alors qu'on lui a dit qu'il n'y avait pas accès.

Tous les incidents ne viennent pas d'Irregular, cela dit. L'institut britannique de sécurité de l'IA a observé de son côté un modèle monter une attaque contre un projet open source bien réel, en fabriquant de faux comptes et en faisant de l'ingénierie sociale sur ses mainteneurs.

Les modèles, eux, se comportent exactement comme prévu. On leur demande de trouver et d'exploiter des failles dans un système, ils trouvent et ils exploitent, et personne ne leur a donné les moyens de savoir que la cible était bien réelle.

Meta annonce une rétrospective complète. Irregular affirme de son côté qu'aucun problème de sécurité ne reste ouvert. Bref, on n'a pas fini d'entendre parler de ce genre de cas.

Source : Bloomberg

Par Marc Mossé – Senior Counsel, Eden Gall – Counsel

Adopté le 12 juillet 2023, le paquet « e-Evidence » repose sur deux textes complémentaires. Le règlement (UE) 2023/1543, directement applicable à partir du 18 août 2026, crée les injonctions européennes de production et de conservation. La directive (UE) 2023/1544 organise, quant à elle, la désignation par les fournisseurs d’un établissement ou d’un représentant légal dans l’Union afin de recevoir et d’exécuter ces injonctions. Le Danemark n’est pas lié par le règlement. L’Irlande a, en revanche, notifié son souhait d’y participer, ce qui est notable dès lors que de nombreuses entreprises du secteur des technologies de l’information ont leur principal établissement dans cet État membre de l’UE : le périmètre réel de la coopération s’en trouve sensiblement élargi. Pour les autres États membres, la réforme instaure un cadre uniforme qui complète, sans les supprimer, les instruments existants.

Un accès direct au fournisseur qui modifie les circuits traditionnels

Le changement principal tient au circuit de la demande. Jusqu’à présent, l’obtention de données situées à l’étranger reposait en principe sur l’intervention des autorités de l’État requis, notamment au moyen de l’entraide judiciaire ou de la décision d’enquête européenne. Le règlement permet désormais à l’autorité compétente de l’État d’émission de transmettre directement son certificat à l’établissement désigné ou au représentant légal du fournisseur dans un autre État membre. L’État dans lequel les serveurs sont physiquement situés n’est pas déterminant : le texte e-Evidence s’applique « quelle que soit la localisation des données ».

Deux instruments doivent être distingués : 

• L’injonction européenne de production, transmise au moyen d’un certificat d’injonction européenne de production (EPOC), impose la remise de données déjà stockées au moment de sa réception. 
• L’injonction européenne de conservation, transmise au moyen d’un certificat d’injonction européenne de conservation (EPOC-PR), oblige le fournisseur à empêcher le retrait, la suppression ou la modification des données dans l’attente d’une demande de production ultérieure. Elle ne vaut donc pas, à elle seule, autorisation de communiquer les données.

Le mécanisme reste circonscrit aux procédures pénales et, aux fins de l’exécution d’une peine ou d’une mesure de sûreté privative de liberté, à trois conditions cumulatives : une durée d’au moins quatre mois, une décision qui n’a pas été rendue par défaut et une personne condamnée qui s’est soustraite à la justice. Les injonctions peuvent également être émises dans le cadre de procédures portant sur une infraction dont une personne morale pourrait être tenue responsable dans l’État d’émission. Le règlement n’a pas pour objet les enquêtes civiles ou administratives et ne s’applique pas aux procédures engagées en vue de fournir une entraide judiciaire à un autre État membre ou à un pays tiers. Les autorités nationales conservent par ailleurs la possibilité de recourir à leurs pouvoirs internes à l’égard des fournisseurs établis ou représentés sur leur territoire.

Un champ d’application aussi large que l’économie numérique

La notion de fournisseur de services dépasse largement les opérateurs de télécommunications. Sont visés les services de communications électroniques, les services d’attribution de noms de domaine et de numérotation IP, ainsi que les services de la société de l’information qui permettent aux utilisateurs de communiquer entre eux ou dont une composante déterminante consiste à stocker ou traiter des données pour leur compte. Messageries, réseaux sociaux, plateformes, places de marché, services cloud et hébergeurs peuvent ainsi entrer dans le champ du texte. Les services financiers sont en revanche exclus de cette définition, ce qui borne un champ par ailleurs très étendu.

Le fournisseur n’a pas nécessairement à être établi dans l’Union. Il suffit qu’il y propose ses services et présente un lien substantiel avec un État membre, apprécié notamment au regard de l’existence d’un établissement, d’un nombre significatif d’utilisateurs ou d’un ciblage des activités vers le marché européen. La directive 2023/1544 impose alors, selon la situation du fournisseur, la désignation d’un établissement doté de la personnalité juridique ou la nomination d’un représentant légal dans l’Union, au plus tard le 18 août 2026 pour les acteurs déjà présents.

Le règlement e-Evidence définit les preuves électroniques par trois catégories – données relatives aux abonnés, données relatives au trafic et données relatives au contenu – mais organise en réalité quatre régimes : les adresses IP et informations connexes demandées à la seule fin d’identifier un utilisateur constituent un sous-ensemble découpé au sein des données de trafic, soumis à un régime allégé. Cette distinction commande le niveau de contrôle. Les données d’abonné ou d’identification peuvent être demandées pour toute infraction pénale. Les données de trafic – hors simple identification – et de contenu ne peuvent en principe être obtenues que pour une infraction passible d’une peine maximale d’au moins trois ans ou pour certaines infractions spécialement visées, notamment en matière de cybercriminalité, de terrorisme, d’exploitation sexuelle des enfants ou de fraude et de contrefaçon des moyens de paiement autres que les espèces au sens de la directive (UE) 2019/713, ces infractions devant en outre avoir été commises, en tout ou en partie, au moyen d’un système d’information – condition qui ne s’applique pas aux infractions terroristes.

L’autorité habilitée dépend également de la sensibilité des données. Un procureur peut émettre ou valider une injonction de production portant sur des données d’abonné ou d’identification ; pour les données de trafic et de contenu, l’émission ou la validation d’une telle injonction doit relever d’un juge, d’une juridiction ou d’un juge d’instruction. Cette dichotomie ne vaut toutefois que pour la production : une injonction européenne de conservation concernant des données de toute catégorie, y compris de trafic et de contenu, peut être émise ou validée par un procureur. En cas d’urgence valablement établi, une injonction portant sur des données d’abonné ou d’identification, ou une injonction de conservation, peut en outre être émise sans validation préalable, sous réserve d’une validation ex post dans les quarante-huit heures ; à défaut, l’injonction est retirée et les données obtenues sont supprimées ou leur usage limité. Dans tous les cas, l’injonction doit être nécessaire, proportionnée et possible dans une procédure nationale similaire.

Dix jours pour produire, huit heures en cas d’urgence

Dès réception d’un EPOC, le destinataire doit agir rapidement pour conserver les données demandées. Il doit ensuite les transmettre directement à l’autorité indiquée dans le certificat dans un délai maximal de dix jours à compter de la réception de l’EPOC lorsqu’aucune notification n’est requise. En cas d’urgence (menace imminente pour la vie, l’intégrité physique ou la sécurité d’une personne ou pour une infrastructure critique dans les conditions prévues par le texte), le délai tombe à huit heures. L’urgence devient ainsi une contrainte de disponibilité permanente, y compris la nuit, le week-end et les jours fériés. Le certificat est par ailleurs traduit dans une langue acceptée par le destinataire ou, à défaut de choix de sa part, dans une langue officielle de l’État membre où se trouve l’établissement désigné ou le représentant légal ; chaque État membre peut élargir la liste des langues qu’il accepte et notifie ses autorités compétentes à la Commission.

L’EPOC-PR appelle une réaction encore plus immédiate : les données doivent être conservées sans retard injustifié. Cette obligation prend fin après soixante jours, sauf si l’autorité confirme qu’une demande de production ultérieure a été émise. Elle peut être prolongée une fois de trente jours pour permettre l’émission de cette demande. Pendant cette période, le fournisseur doit garantir l’intégrité et la disponibilité des données sans les communiquer prématurément.

Le règlement e-Evidence prévoit toutefois un dialogue lorsque le certificat est incomplet, manifestement erroné ou insuffisamment précis, ou lorsqu’une impossibilité de fait empêche l’exécution. Le fournisseur utilise alors le formulaire harmonisé de l’annexe III et conserve les données lorsqu’elles peuvent être identifiées. Pour une injonction de production, l’autorité d’émission dispose de cinq jours pour apporter les éclaircissements nécessaires, les obligations d’exécution du fournisseur étant suspendues tant qu’ils ne sont pas fournis. Le mécanisme vaut également pour l’EPOC-PR, avec une sanction différente et plus favorable au fournisseur : en l’absence de réaction de l’autorité d’émission dans le délai de cinq jours, le fournisseur de services est exempté de ses obligations de conservation. Ces mécanismes supposent des procédures internes capables de distinguer, dans un délai très bref, la difficulté technique, l’irrégularité apparente et le simple désaccord sur le bien-fondé de la demande.

Les fournisseurs doivent permettre à leur établissement désigné ou à leur représentant légal d’accéder au système et prennent en charge les coûts nécessaires à son intégration ou à son utilisation. L’article 14 leur permet de demander à l’État d’émission le remboursement de leurs frais lorsque le droit national de cet État le prévoit pour des injonctions nationales similaires, ces règles nationales devant être rendues publiques par la Commission. Le portail d’enregistrement de la Commission est par ailleurs désormais accessible aux fournisseurs.

Des garanties organisées à plusieurs niveaux

La rapidité du mécanisme n’écarte pas tout contrôle par l’État chargé de la mise en œuvre. Lorsqu’une injonction de production porte sur des données de trafic ou de contenu, l’autorité chargée de la mise en œuvre doit en principe être notifiée en même temps que le fournisseur. La transmission des données intervient alors à l’expiration du délai de dix jours, ou plus tôt si l’autorité chargée de la mise en œuvre confirme qu’elle n’invoquera aucun motif de refus. En cas d’urgence, cette autorité dispose de quatre-vingt-seize heures pour s’opposer à l’utilisation des données, y compris après leur transmission, l’autorité d’émission devant alors les effacer ou en restreindre l’usage : cette objection a posteriori a une portée pratique forte pour les fournisseurs. La notification n’est toutefois pas requise lorsque l’autorité d’émission a des motifs raisonnables de croire que l’infraction a été commise, est en train d’être commise ou est susceptible d’être commise dans son propre État et que la personne concernée y réside, ces deux conditions étant cumulatives.

Les motifs de refus s’organisent en deux étages. Au stade de la notification, l’autorité chargée de la mise en œuvre peut invoquer, dans les dix jours, ou quatre-vingt-seize heures en cas d’urgence, les motifs limitativement énumérés à l’article 12 : immunités ou privilèges, règles protégeant la liberté de la presse, violation manifeste d’un droit fondamental dans des circonstances exceptionnelles, principe ne bis in idem ou, sous réserve d’exceptions, absence de double incrimination. Au stade de la mise en œuvre forcée, l’article 16, §4 et §5 ouvre des motifs plus larges : absence d’autorité d’émission compétente, infraction située hors des seuils fixés, impossibilité de fait, données non stockées au moment de la réception du certificat ou service hors du champ du règlement. Le destinataire n’est donc pas érigé en juge général de la nécessité et de la proportionnalité de l’injonction. Il devient néanmoins le premier niveau de détection des anomalies manifestes et doit signaler les obstacles dont il a connaissance.

Le règlement porte une attention particulière aux données couvertes par le secret professionnel et aux libertés des médias, selon deux régimes distincts. D’une part, l’article 5, §9 du Règlement encadre l’émission de l’injonction lorsque les données de trafic ou de contenu, hébergées dans une infrastructure fournie à un professionnel soumis au secret professionnel en vertu du droit de l’État d’émission, sont protégées par ce secret : l’injonction ne peut alors être émise que dans certaines hypothèses, notamment si le professionnel réside dans l’État d’émission, si le fait de s’adresser à lui risquerait de nuire à l’enquête ou si le secret a été levé. Lorsque l’infrastructure est fournie à une autorité publique, l’article 5, §8 du Règlement réserve l’émission de l’injonction aux cas où cette autorité est située dans l’État d’émission, disposition applicable mutatis mutandis à la conservation ; point sensible pour les fournisseurs de services cloud du secteur public. D’autre part, les articles 10, §5 et 11, §4 imposent au destinataire et au fournisseur d’alerter les autorités lorsque l’exécution paraît interférer avec des immunités, des privilèges ou des règles relatives à la liberté de la presse ou d’expression selon le droit de l’État chargé de la mise en œuvre.

La personne dont les données sont produites doit en principe être informée sans retard injustifié par l’autorité d’émission et disposer d’un recours effectif devant une juridiction de cet État. Cette information peut néanmoins être retardée, limitée ou omise lorsque les conditions prévues par la directive « police-justice », la directive (UE) 2016/680, dont l’article 13, §3 est le fondement du report d’information, sont réunies. De leur côté, le destinataire et le fournisseur doivent mettre en œuvre les mesures opérationnelles et techniques les plus modernes pour garantir la confidentialité, le secret et l’intégrité de l’injonction et des données.

Enfin, lorsqu’une injonction de production entre en conflit avec une obligation découlant du droit d’un pays tiers, le destinataire peut former, dans les dix jours, une objection motivée. Le seul stockage des données dans ce pays ne suffit pas. Si l’autorité souhaite maintenir l’injonction, la juridiction compétente de l’État d’émission procède, en application de l’article 17, §4, à un examen en deux temps : elle établit d’abord l’existence d’un conflit, en vérifiant que le droit du pays tiers est applicable puis qu’il interdit effectivement la divulgation dans les circonstances de l’espèce ; à défaut de conflit, l’injonction est maintenue. Ce n’est qu’en présence d’un conflit qu’elle met en balance les intérêts protégés par le droit du pays tiers, le degré de connexion de l’affaire et les liens du fournisseur avec les juridictions concernées, la gravité de l’infraction et les conséquences du respect de l’injonction, une importance particulière étant accordée aux deux premiers facteurs. L’exécution de l’injonction est suspendue pendant ce réexamen. Ce mécanisme sera particulièrement suivi par les groupes internationaux exposés à des obligations de divulgation ou de non-divulgation potentiellement concurrentes.

Le fournisseur devient un maillon de la coopération pénale européenne

L’importance du rôle confié aux opérateurs se mesure au régime de sanctions. Les États membres doivent prévoir des sanctions effectives, proportionnées et dissuasives et permettre l’imposition d’amendes pouvant atteindre 2 % du chiffre d’affaires annuel mondial total du fournisseur pour l’exercice précédent. Conformément à l’article 16, §10, ces sanctions pécuniaires visent les violations des articles 10, 11 et 13, §4, donc y compris le manquement aux obligations de confidentialité et de sécurité. Le règlement protège en retour le fournisseur contre la responsabilité pour le préjudice causé à ses utilisateurs ou à des tiers lorsque celui-ci résulte exclusivement du respect de bonne foi d’un EPOC ou d’un EPOC-PR, sans préjudice de ses obligations en matière de protection des données.

Il serait donc réducteur de traiter le dispositif comme une simple nouvelle adresse de réception des réquisitions. L’établissement désigné ou le représentant légal doit être doté des pouvoirs et des ressources nécessaires pour recevoir, authentifier et exécuter les injonctions. Il faut également organiser l’accès aux données au sein du groupe, la conservation probatoire, les validations juridiques, la sécurité des transmissions, la traçabilité des décisions et l’escalade des cas sensibles. Le délai de huit heures rend indispensable une chaîne de réponse testée avant l’entrée en application.

Une entrée en application sous tension

À moins d’un mois de l’échéance, la préparation demeure inégale. Le règlement d’exécution technique a bien été adopté le 28 juillet 2025, mais la transposition de la directive 2023/1544 devait être achevée le 18 février 2026. Le 27 mars 2026, la Commission européenne a ouvert une procédure d’infraction contre vingt-deux États membres, dont la France, pour défaut de communication d’une transposition complète.

Les représentants du secteur soulignent parallèlement les incertitudes entourant la disponibilité du système décentralisé, son articulation avec les outils nationaux existants et certaines limites techniques, à l’image du plafond de transmission de 25 Mo retenu par les spécifications. Dans une prise de position de juin 2026, EuroISPA appelle ainsi à une période de grâce liée à la mise à disposition effective de l’infrastructure. Le cadre juridique a toutefois lui-même anticipé une partie du décalage : l’obligation d’utiliser le système décentralisé n’est exigible qu’un an après l’adoption des actes d’exécution et l’article 24 organise, dans l’intervalle, le recours aux moyens de substitution les plus appropriés. À la date de rédaction du présent article, aucun report de la date d’application prévue par le règlement n’a été adopté. L’écart éventuel entre la maturité du dispositif et l’opposabilité des obligations constitue donc un risque immédiat pour les fournisseurs.

Un écho transatlantique : le CLOUD Act

Ce basculement dépasse le cadre européen : l’Union n’a pas inventé le déplacement du critère de rattachement que consacre l’article 1er du règlement. Cinq ans avant le paquet e-Evidence, le CLOUD Act du 23 mars 2018 avait tranché par la loi la question laissée ouverte par le contentieux Microsoft Ireland, dans lequel l’opérateur soutenait qu’une demande portant sur des données stockées en Irlande devait emprunter le circuit de l’entraide judiciaire. Le nouveau 18 U.S.C. § 2713 impose au fournisseur de services de communications électroniques ou d’informatique à distance de conserver, sauvegarder ou communiquer les données placées sous sa possession, sa garde ou son contrôle, « regardless of whether [they are] located within or outside of the United States ». La formule répond au « quelle que soit la localisation des données » du règlement : de part et d’autre de l’Atlantique, le critère de rattachement a cessé d’être le serveur pour devenir le lien juridique entre l’autorité et le fournisseur – l’établissement désigné ou le représentant légal d’un côté, le contrôle des données par une entité soumise à la juridiction américaine de l’autre.

Le parallèle s’arrête toutefois là où commence l’architecture institutionnelle. Le CLOUD Act ne crée pas d’injonction directement exécutoire d’un État vers un fournisseur étranger : sa seconde branche, codifiée à 18 U.S.C. § 2523, subordonne cet accès direct à des accords exécutifs conclus avec des « qualifying foreign governments », après certification par l’Attorney General, avec l’accord du Secretary of State, du respect de l’État de droit et des droits fondamentaux. Ces accords doivent limiter les demandes aux « serious crime », imposer un ciblage individualisé, interdire de viser intentionnellement une US person ou une personne située aux États-Unis, prévoir des procédures de minimisation et une réciprocité allant jusqu’à la levée des interdictions de divulgation opposables aux fournisseurs ; leur entrée en vigueur suppose un examen dans un délai de cent quatre-vingts jours par le Congrès, qui peut s’y opposer par résolution conjointe. Là où le règlement organise l’accès direct par un instrument unilatéral d’application immédiate entre États membres, le droit américain le conditionne à un accord négocié – l’hypothèse d’un accord global entre l’Union et les États-Unis, plutôt que d’accords bilatéraux avec chaque État membre, a fait l’objet d’un mandat de négociation donné à la Commission européenne par le Conseil en 2019 mais sans succès à ce jour. Hors accord international, une demande fondée sur le seul CLOUD Act se heurte d’ailleurs à l’article 48 du RGPD.

C’est enfin sur le conflit de lois que le miroir est le plus net. Le 18 U.S.C. § 2703(h) permet au fournisseur de saisir le juge américain dans les quatorze jours pour faire annuler ou modifier la procédure lorsqu’il estime raisonnablement que l’abonné n’est ni une US person ni un résident des États-Unis et que la divulgation créerait un risque matériel de violation du droit d’un « qualifying foreign government ». Le juge procède alors à une appréciation de comity analysis pondérant notamment les intérêts respectifs des deux États, les sanctions encourues par le fournisseur, la localisation et la nationalité de l’abonné, les liens du fournisseur avec les États-Unis et l’importance des informations pour l’enquête, les données devant être conservées mais non produites pendant l’instance. On reconnaît la structure de l’article 17 du règlement, évoquée plus haut : objection motivée dans un délai bref, suspension de l’exécution, mise en balance d’intérêts comparables. Ce régime spécifique de comity analysis n’est cependant ouverte qu’au bénéfice des États liés par un accord exécutif, les autres devant continuer de se fonder sur le le principe jurisprudentiel de courtoisie internationale qui demeure applicable y compris dans le cadre du Cloud Act. Pour les fournisseurs présents des deux côtés de l’Atlantique, l’enjeu n’est donc pas de choisir un ordre juridique, mais de tenir dans les deux la même discipline : qualifier vite, documenter, et savoir opposer un conflit de lois avant l’expiration de délais qui se comptent en jours.

Le règlement e-Evidence marque, en définitive, un déplacement du centre de gravité de la coopération judiciaire internationale, que le droit américain avait amorcé de son côté. La frontière pertinente n’est plus celle du lieu de stockage, mais celle de l’établissement désigné ou du représentant légal du fournisseur. En contrepartie de l’accès accéléré aux preuves, le texte exige de concilier dans des délais particulièrement courts efficacité de l’enquête, protection des droits fondamentaux, secrets protégés, sécurité des données et conflits de lois. Sa réussite dépendra autant de la préparation des autorités que de celle des entreprises placées au premier rang de son exécution. Dans un monde d’interdépendances multiples où les technologies jouent un rôle transnational majeur, il est à souhaiter que la logique d’accords et de reconnaissances mutuelles des procédures gagnent du terrain pour garantir les droits fondamentaux et la protection de l’ordre public. La souveraineté numérique passe aussi par ce chemin.

Sources officielles mentionnées dans le projet

• EUR-Lex – Règlement (UE) 2023/1543 relatif aux injonctions européennes de production et de conservation
• EUR-Lex – Directive (UE) 2023/1544 relative aux établissements désignés et représentants légaux
• Commission européenne – E-evidence: cross-border access to electronic evidence
• EUR-Lex – Règlement d’exécution (UE) 2025/1550 du 28 juillet 2025 relatif au système informatique décentralisé (JO du 29 juillet 2025)
• Commission européenne – Décisions d’infraction du 27 mars 2026
• EuroISPA – Closing the implementation gap before August 2026 (juin 2026)
• eucrim – Critical Issues in the New EU Regulation on Electronic Evidence in Criminal Proceedings
• ETSI – Norme TS 104 144 relative aux spécifications d’échange des preuves électroniques
• CLOUD Act (Clarifying Lawful Overseas Use of Data Act), Pub. L. 115-141, div. V, 23 mars 2018 – 18 U.S.C. §§ 2523, 2703(h) et 2713

The post <strong>Règlement e-Evidence</strong> : l’accès transfrontière aux données change d’échelle appeared first on INCYBER NEWS.

Cet article a été réalisé en collaboration avec CNFCE

Le remplacement de l’humain par l’IA est une crainte légitime de nombre de professionnels, qu'ils appartiennent au secteur du numérique ou non. La formation apparaît comme une bonne manière de s’armer intellectuellement face à cette grande marée.

Cet article a été réalisé en collaboration avec CNFCE

Il s’agit d’un contenu créé par des rédacteurs indépendants au sein de l’entité Humanoid xp. L’équipe éditoriale de Numerama n’a pas participé à sa création. Nous nous engageons auprès de nos lecteurs pour que ces contenus soient intéressants, qualitatifs et correspondent à leurs intérêts.

En savoir plus

Sony commence à poser une note d'information sur la fin des disques PlayStation sur les boîtes de PS5. Si certains espéraient encore un rétropédalage, il va falloir se faire une raison.

La généralisation de la facture électronique crée, presque mécaniquement, un nouveau marché : celui des plateformes chargées de faire transiter les factures entre entreprises et administration fiscale. Éditeurs historiques de logiciels comptables, spécialistes de la dématérialisation, nouveaux entrants : la concurrence s’organise autour d’un statut désormais très convoité, celui de plateforme agréée. Le rôle central …

L’article PDP : la bataille des plateformes françaises de la facture électronique est apparu en premier sur FW.MEDIA.

Des chercheurs de Bitdefender ont mis au jour une campagne de malware distribuée via Discord et des forums de jeu, déguisée en version « indétectable » du script executor Xeno pour Roblox.

Nvidia ne ménage pas ses efforts dans la mise au point de modèles de raisonnement pour les véhicules autonomes et semble prêt à tout pour en faire des solutions de référence dans l’écosystème. Le géant des semi-conducteurs a présenté le 4 août Alpamayo 2 Super, un modèle vision-langage-action (VLA) open source à 34 milliards de paramètres, soit trois fois plus que les précédentes versions Alpamayo 1 (sorti en décembre) et Alpamayo 1.5 (en mars).

Si l’attention s’est longtemps concentrée sur les accélérateurs de calcul, la mémoire devient désormais l’un des principaux facteurs limitants des performances des centres de données. Un créneau qu’a choisi d’investir massivement Samsung avec son nouveau prototype V10 Bonding V-NAND, plus connu sous le nom de BV-NAND. Cette nouvelle génération de mémoire flash dépasse les 400 couches, contre un peu plus de 300 pour la génération précédente, grâce à une nouvelle technologie de wafer bonding, qui consiste à assembler plusieurs tranches de silicium afin d’augmenter la densité de stockage.

Les intelligences artificielles génèrent des images, écrivent du code et résolvent des problèmes complexes. Mais produisent-elles réellement quelque chose de nouveau ? Pour Tom Zahavy, chercheur chez Google DeepMind, les modèles actuels restent incapables du « saut » intellectuel qui permet de formuler une idée sans précédent.

[Deal du jour] Le Forfait Voyage 300 Go de YouPrice propose une (très) grosse enveloppe de data en France et 26 Go pour plus de 50 destinations à travers le monde, le tout pour moins de 15 € par mois.

En juillet 2026, notre équipe chez RESONEO a capturé et disséqué 1 200 réponses ChatGPT, 88 000 résultats de recherche et 26 900 pages distinctes pour répondre à une question : quand ChatGPT cite une page, d'où vient-elle ? Jérôme Salomon (Oncrawl) a guidé toute la partie cache. L'étude complète est publiée sur think.resoneo.com ; cet article en tire ce que les professionnels du search doivent retenir.

La version courte : le grounding de ChatGPT repose sur trois étages de stockage. Un index de discovery qui trouve les pages, un cache de lecture qui conserve la copie intégrale des pages déjà fetchées, et un petit lot de pages ouvertes en live. Chaque étage a ses règles, sa fraîcheur et ses angles morts. Une fois qu'on a ces trois étages en tête, le comportement de citation de ChatGPT cesse d'être mystérieux et redevient ce qu'il est : un système construit pour répondre au moindre coût.

Comment on sait tout ça

Notre extension chrome enregistre le flux de données brut que chatgpt.com envoie au navigateur, y compris des champs que l'interface n'affiche jamais. Jusqu'au 21 juillet 2026, ce flux contenait un champ result_source qui nommait le pipeline interne derrière chaque résultat de recherche. Quatre valeurs revenaient sans cesse : labrador, bright, oxylabs, serp. Aucune n'est documentée par OpenAI, qui ne parle publiquement que de « third-party search providers ».

Puis le champ a disparu du flux. Du jour au lendemain, sur tous les comptes qu'on surveille. Nous ré-identifions désormais chaque pipeline par ses signatures de format (longueur de snippet, forme des title...), avec un classifieur qui tombe juste environ 98 % du temps. La V5 de notre extension l'embarque en natif. Nous avons aussi fait tourner une flotte de comptes sur plusieurs tiers et plusieurs pays, rejoué les mêmes prompts via l'API d'OpenAI, et publié des pages canari sur notre propre domaine avec les logs serveur complets, pour voir exactement ce que les robots d'OpenAI récupèrent au lieu de le deviner.

Le casting des pipelines

Ce qu'on avait établi avant cette campagne, et qui tient toujours :

• labrador est le hub de retrieval maison d'OpenAI. En plus du web search, il renvoie des résultats news, academia (arXiv), Reddit et YouTube : il fonctionne comme un orchestrateur d'index internes, de dépôts ouverts type Wikipedia et de partenariats presse.
• bright et oxylabs, ce sont des résultats Google scrapés, achetés en live.
• P1/P2/P3 servent le shopping, depuis les feeds marchands propres à OpenAI, avec Google conservé en oracle pour les prix et les avis.
• B1/B3, Yelp et Tripadvisor servent le local, avec une subtilité : les liens affichés aux utilisateurs pointent vers Google Maps.

Le shopping et le local ne touchent jamais au web search. Si vous vendez des produits ou tenez un restaurant, votre bataille se joue dans les feeds marchands et les fiches locales, en plus des citations classiques. Cet article se concentre sur le versant web search, parce que c'est là que sont tombées les surprises.

Étage 1 : l'index, et Bing n'y est pour rien

Commençons par le résultat principal : OpenAI a son propre index web, et ce n'est pas Bing qui l'alimente. On l'a vérifié de trois façons. Seules 1,5 % des URLs labrador apparaissent dans le top 20 de Bing sur les mêmes fan-outs. Aucun snippet labrador ne correspond à un snippet Bing. Et Bing coupe les title à 75 caractères, alors que 24 % des title labrador dépassent allègrement cette limite. Le plus long qu'on ait capturé fait 289 caractères.

Cet index alimente la quasi-totalité des citations search en mode instant, le mode rapide servi aux utilisateurs gratuits. L'exception, ce sont les questions dont la réponse nécessite des données quasi en live (« qui a gagné le match hier soir »), où il partage à peu près 50/50 avec des résultats Google scrapés.

Maintenant, que contient concrètement un résultat de cet index ? Trois choses. L'URL. Le title complet de la page, jamais tronqué, même quand il est absurdement long. Et un snippet d'environ 200 caractères.

La construction du snippet mérite qu'on s'y arrête, parce que c'est l'intégralité du texte de votre page qui atteint le modèle en mode instant. Il est ancré sur votre H1, restitué en majuscules, plus tout le texte visible qui traîne immédiatement autour. Cen'est pas forcément le texte que vous choisiriez... Tout : le libellé de catégorie au-dessus du titre, l'attribut alt de l'image en dessous, la signature, la date de publication, un sommaire s'il est posé là. On a mesuré un cas où le snippet était à 100 % un sommaire et à 0 % du contenu. Ce qui occupe ces 200 caractères sera repris, et rien d'autre, et la meta description est totalement ignorée.

Encore une chose sur ce snippet : il ne dépend pas de la query. La même URL ressort avec le même snippet figé, que l'utilisateur ait demandé un prix, un historique ou des effets secondaires. Il est découpé à l'indexation et servi tel quel jusqu'au crawl suivant.

Au regard des standards du search moderne, c'est assez grossier... Le snippet indépendant de la query, c'est le genre de chose que la recherche web a abandonné il y a une vingtaine d'années, et le voilà en 2026 aux commandes de l'assistant IA le plus utilisé de la planète. On suppose que c'est un provisoire appelé à s'améliorer vite. En attendant, c'est là-dessus que votre contenu est jugé.

En comparaison, les résultats bright ressemblent exactement à ce qu'ils sont, des résultats Google : title coupés vers 60 caractères avec des points de suspension, snippets d'environ 160 caractères, meta description reprise une fois sur trois. Votre meta description ne sert à rien pour labrador et fonctionne toujours pour les pipelines alimentés par Google. 

Un routage économique, pas technique

Pourquoi OpenAI entretient-il les deux ? Le coût est la réponse.

En mode instant, ChatGPT doit répondre en quelques secondes et l'utilisateur ne paie généralement rien. Donc il n'interroge que ce qu'OpenAI possède déjà : le hub labrador. Aucune page n'est ouverte (zéro page ouverte dans 93 % des réponses instant capturées). La réponse est fondée sur des title et des snippets de 200 caractères, rien d'autre.

En mode thinking, l'utilisateur paie un abonnement et accepte d'attendre. Là, les outils chers sont invoqués : classements Google scrapés via bright (75 % des résultats search en thinking), et vraies ouvertures de pages par le robot ChatGPT-User. Une conversation thinking ramène une centaine de résultats répartis sur environ 28 domaines, contre environ 11 résultats en instant.

Tout ce qui coûte à OpenAI de l'argent (payer les prestataires de scraping) ou du temps (ouvrir des URLs, appeler des APIs live) est réservé au mode où les utilisateurs paient et patientent. 

Voilà pourquoi ça compte commercialement : plus de 90 % des utilisateurs de ChatGPT sont au tier gratuit. Gratuit veut dire instant, et instant veut dire labrador. Le pipeline dont personne n'avait entendu parler il y a six mois est celui qui décide de la visibilité dans l'immense majorité des conversations ChatGPT en cours en ce moment même.

Les chiffres du funnel rendent l'enjeu concret. Sur notre corpus, 61 332 URLs ont été remontées dans la sidebar de sources. 5 032 sont devenues la source principale d'une citation. 759 pages ont été réellement ouvertes, toutes en mode thinking. Une page ouverte finit citée 74 % du temps ; une page simplement remontée, mais non ouverte, 7 %.

Étage 2 : un cache de lecture partagé par tout le monde

C'est la partie que Jérôme Salomon a creusée avec nous, et elle a changé notre façon de comprendre « ChatGPT a visité ma page ».

À côté de l'index, ChatGPT entretient un cache de toutes les pages qu'il a fetchées un jour. Pas des snippets : des pages complètes, converties du HTML vers du markdown et stockées comme ça. Le cache est keyé sur l'URL et partagé entre tous les utilisateurs et tous les tiers. Si un utilisateur gratuit à Berlin pose une question sur une page qu'un abonné payant de l'Ohio a fait fetcher la semaine dernière, Berlin reçoit la copie de l'Ohio.

La logique de rafraîchissement est ce que les ingénieurs appellent du stale-while-revalidate. Une copie est considérée fraîche pendant environ 30 minutes. Dans cette fenêtre, tout le monde reçoit la version stockée et votre serveur ne voit rien passer. Au-delà de 30 minutes, l'utilisateur reçoit quand même la copie périmée immédiatement, et un fetch en arrière-plan la rafraîchit pour le suivant. Ce qui veut dire que le rythme de recrawl de vos pages est réglé par un seul signal : la fréquence à laquelle les utilisateurs de ChatGPT les demandent. Les pages populaires restent fraîches. Les autres vieillissent indéfiniment ; Jérôme a documenté des copies servies plus de 90 jours après le fetch, sans plafond d'éviction en vue. Votre header Cache-Control: no-store ? Ignoré. Votre noindex ? Ignoré aussi.

La conversion en markdown a sa propre personnalité. Les scripts, les iframes et le JSON-LD sont supprimés (oui, vos données structurées n'atteignent jamais le modèle par ce chemin). Les alt d'images survivent. Et le texte masqué en CSS est extrait quand même, ce qui veut dire que le robot lit des choses qu'aucun visiteur humain ne voit. On vous laisse méditer les implications, en notant que la détection de cloaking ne semble pas encore être le point fort d'OpenAI.

Deux limites dures encadrent chaque fetch. Le robot n'exécute pas le JavaScript, donc le contenu injecté côté client lui est invisible. Et les pages sont plafonnées à exactement 4Mo. Au-delà, la page n'est pas tronquée. Elle est rejetée d'un bloc avec une HTTP 400, et le modèle ne lit rien du tout. Une page trop lourde n'est pas lue en partie ; elle n'existe pas.

Une surprise se cache dans tout ça : un paramètre de l'API renvoie la date de crawl de la copie stockée d'une URL. Fetchez vos propres pages par ce biais et vous savez quand un utilisateur de ChatGPT a fait lire votre page pour la dernière fois. C'est une vraie métrique d'exposition, presque gratuite, et personne ne la regarde (merci Jérôme Salomon pour la trouvaille !).

L'angle mort analytics

Vous avez sans doute déjà vu utm_source=chatgpt.com dans vos rapports analytics. Ce paramètre est ajouté aux liens cliquables affichés aux utilisateurs. Il traque le clic sortant. Mais toutes les citations n'ont pas ce paramètre de tracking... Nous avons en effet observé que les pages que ChatGPT ouvre de lui-même en mode thinking ne contiennent pas d'utm_source dans les citations présentées aux utilisateurs.

Donc les pages que le modèle a réellement lues en entier, celles qui ont 74 % de taux de citation, ne laissent aucune trace utm. Si vous jaugez votre exposition ChatGPT en filtrant sur ce paramètre, vous comptez les clics et vous ratez les lectures. Surveillez aussi le user-agent ChatGPT-User dans vos logs serveur.

Le mystère : des citations venues de nulle part

Un résultat résiste à l'explication, et on aimerait l'aide de la communauté dessus.

Une partie des résultats qui atteignent le modèle n'ont aucun snippet, juste un title et une URL. On l'a constaté pour les résultats arXiv ou Reddit, qui viennent de bases de données pour lesquelles OpenAI a un accès direct, donc cela ne nous choque pas. Mais il y en a beaucoup d'autres.. Et voilà le plus étrange : en mode instant, les URLs sans snippet (hors Reddit, Youtube, arXiv) sont citées plus que les URLs avec snippet (14,9 % contre 8,2 %). Le modèle préfère citer les pages sur lesquelles il a lu le moins de choses.

Plus étrange encore, certains liens cités ne correspondent à aucun résultat de recherche. Notre hypothèse est que le modèle les écrit depuis sa mémoire paramétrique, la connaissance gravée dans ses poids à l'entraînement. Ce sont presque toujours des racines de domaines connus, consciencieusement suffixées utm_source=chatgpt.com comme si elles sortaient d'une recherche. Une part non négligeable de ce que ChatGPT finit par citer pourrait être simplement ce dont il se souvient, pas ce qu'il a récupéré. On observe le phénomène ; on ne sait pas encore le dimensionner précisément, et on accueillera volontiers les contradicteurs sur ce point.

Une bizarrerie voisine : arXiv a été remonté plus de 2 600 fois dans notre corpus et cité 10 fois. Reddit, même profil. ChatGPT lit des preprints et des forums pour réfléchir, puis montre au lecteur des pages web ordinaires. Être récupéré et être cité sont deux marchés différents.

Alors, faut-il écrire des title de 289 caractères ?

Soyons francs sur la tentation. Le title complet atteint le modèle sans troncature, donc il fait partie de votre budget de grounding. Les 200 caractères après votre H1 sont le seul texte du corps que le modèle voit en mode instant, donc décaler les libellés de catégorie, les dates et les widgets coincés entre votre H1 et votre première phrase utile améliore directement ce que ChatGPT sait de votre page. Ces deux leviers sont réels, mesurés, actionnables aujourd'hui.

Actionnez-les avec légèreté. Écrivez le title comme une phrase autoportante plutôt que comme un libellé optimisé pour la troncature. Faites porter votre message de fond par les 200 premiers caractères après le H1. Gardez un alt informatif près du haut de page. Gardez votre meta description quand même, parce que les pipelines alimentés par Google s'en servent toujours. Restez sous les 4 Mio et lisible sans JavaScript.

Mais ne reconstruisez pas votre site autour d'une bizarrerie. Tout ce que décrit cet article est un système qui évolue très vite : le champ result_source a disparu du jour au lendemain, les providers shopping ont été anonymisés la même semaine, et les tokens Google Shopping sont passés de lisibles à chiffrés en quatre jours. N'importe quel mécanisme documenté ici peut avoir disparu le temps que vous déployiez.

Deux faits structurels, en revanche, sont solides. Un : les LLMs ont un knowledge avec une date de cutoff, après laquelle ils ne connaissent plus rien, ils sont donc condamnés à s'appuyer sur des moteurs de recherche pour combler l'écart entre leurs données d'entraînement et aujourd'hui. Le retrieval restera une dépendance permanente de tout assistant IA. Deux : tous les moteurs sur lesquels ils s'appuient seront poussés vers une qualité de niveau Google, parce qu'un index rudimentaire produit des réponses rudimentaires et que les utilisateurs le remarquent. Le snippet de 200 caractères ne fera sans doute pas long feu... Le besoin d'être la meilleure réponse, non. C'est pour ça que les fondamentaux classiques, des pages crawlables, des title clairs, du contenu qui répond vraiment à la question, continuent de payer quelle que soit la plomberie.

La bataille durable : posséder les réponses aux vraies questions

Optimiser la mécanique du snippet, c'est de la tactique. La stratégie est en amont : savoir ce que les gens demandent réellement aux assistants IA, et être la source qui y répond.

Personne ne demande à ChatGPT « une poussette avec un châssis de 49 cm de large ». On lui demande « une poussette qui passe les portiques du métro ». Personne ne cherche la dureté de la mousse d'un casque audio ; on demande quel casque reste confortable quand on porte des lunettes. On demande quel canapé survit à un chat qui fait ses griffes. Cet écart entre la langue des fiches techniques et la langue des humains est exactement là où se joue la visibilité IA, parce que les assistants répondent à des questions conversationnelles avec le contenu qui s'y apparie le mieux.

Vous possédez déjà la moitié du corpus qui révèle ces questions : les avis clients, les conversations du support, les emails que vous recevez chaque jour, les enquêtes que personne n'a rouvertes. L'autre moitié vit hors de vos murs, dans ce qui se dit de vos produits sur les forums, les plateformes sociales, en vidéo, dans la presse et sur les blogs. Lisez les deux versants et les key benefits et pain points de vos produits ressortent dans les mots de vos clients, qui sont aussi les mots qu'entendent les assistants IA. Exploitez cette langue, répondez-y sur des pages que les robots peuvent lire, et vous optimisez pour tous les systèmes de retrieval à la fois, y compris ceux qu'OpenAI n'a pas encore construits.

Ce qui reste ouvert

Nous ne savons pas quel robot alimente l'index labrador ; nos pages canari ont vu OAI-SearchBot quasi muet pendant que l'index continuait de servir des résultats. Reddit est le cas facile, puisqu'OpenAI dispose d'un accès temps réel à la data API de Reddit via leur partenariat de 2024 ; YouTube est une autre histoire, sans accord public ni empreinte visible expliquant comment ces résultats entrent. Et la sur-citation des URLs sans snippet reste expliquée par une hypothèse.

La stack d'OpenAI devient de plus en plus difficile à observer. Des champs disparaissent du flux, des providers sont anonymisés, le routage change d'une semaine à l'autre, et l'ensemble se complexifie au fil du temps. Nous avons tout publié, méthodologie comprise, précisément pour que d'autres puissent challenger ces résultats ou pousser plus loin. L'étude complète, avec les données derrière chaque chiffre de cet article, est sur think.resoneo.com/chatgpt-retrieval.

L’article "Dans la stack de retrieval de ChatGPT : l’index, le cache, et les pages qu’il lit vraiment" a été publié sur le site Abondance.

L’Europe dispose d’excellents laboratoires de recherche, d’universités reconnues mondialement et d’un écosystème de création d’entreprises particulièrement dynamique. En revanche, elle rencontre toujours les mêmes difficultés lorsqu’il s’agit de transformer ces jeunes pousses en leaders internationaux. Pour combler ce retard, la Commission européenne lance le fonds ScaleUp Europe, doté d’un objectif de 5 milliards d’euros, désormais intégré au Fonds du Conseil européen de l’innovation (EIC).

Installer des robots mobiles pour automatiser les opérations de maintenance dangereuses pour les opérateurs humains dans les data centers : c’est en quelque sorte le credo de la start-up suisse Exclaim Robotics. Cette dernière sort de terre et a annoncé le 4 août une levée de fonds en seed de 4,95 millions de dollars (4,3 millions d’euros). Le tour de table a été mené par le capital-risqueur suisse Founderful et le britannique Playfair.

OpenAI a présenté trois nouveaux modules destinés à l'enseignement, un pour les professeurs du primaire et du secondaire, un pour ceux du supérieur, et un dernier pour les étudiants eux-mêmes.

Le premier passe par ChatGPT for Teachers, la version gratuite réservée aux enseignants vérifiés (pour le moment uniquement américains) et à leurs établissements. Il fabrique des ressources adaptées au niveau de chaque élève, produit des visuels interactifs et se branche sur les référentiels pédagogiques locaux.

Les deux autres arrivent par ChatGPT Edu, la formule sous licence que les universités achètent pour tout leur campus. Un enseignant du supérieur peut y mettre à jour son programme, monter un site de cours, produire des évaluations multimédias, et reconditionner l'ensemble pour la plateforme pédagogique de son établissement.

Les étudiants, eux, récupèrent un tuteur, des quiz générés à la volée, des fiches de révision et des explications en images. OpenAI précise qu'ils doivent définir leurs objectifs, choisir leurs sources et examiner ce que la machine leur sort.

L'orientation du projet tient en une phrase : l'IA devrait soutenir l'apprentissage et non le raccourcir. Mouais...

Le contexte rend cette approche un peu particulière en fait. La triche assistée par IA s'est installée comme une routine dans les écoles du monde entier, au point que l'Université nationale autonome du Mexique a suspendu des inscriptions après une fraude massive à ses examens d'entrée.

Les travaux qui s'accumulent ne vont pas d'ailleurs dans le sens d'OpenAI. Une étude du MIT a mesuré à l'électroencéphalogramme, l'examen qui enregistre l'activité électrique du cerveau, une activité nettement plus faible chez les étudiants qui rédigeaient avec l'IA. Le résultat est sans appel. Ces mêmes étudiants se souvenaient beaucoup moins bien de ce qu'ils venaient d'écrire.

Une autre enquête, publiée l'an dernier par le Center for Democracy and Technology, montre que les enseignants du primaire et du secondaire réclament surtout qu'on leur explique comment intégrer ces outils, et qu'ils redoutent aussi les dégâts sur les apprentissages.

Il y a un détail qui m'a fait un peu tiquer dans la communication d'OpenAI. La société prend soin de préciser que les enseignants gardent la main sur les décisions pédagogiques, sur la notation et sur les actions automatisées, ce qui laisse penser que la question s'est quand même posée en interne, et surtout qu'on est sur une première étape.

Source : The Register

10 ans après son lancement, l'Assistant Google s'arrêtera sur Android le 4 septembre. C'est l'intelligence artificielle Gemini qui prend le relai : Google juge la technologie est suffisamment mature pour ne plus avoir besoin de les faire cohabiter.