Un coup de semonce contre Elon Musk ou le début d’une série de sanctions contre les réseaux sociaux ? Vendredi 5 décembre 2025, la Commission européenne a infligé une amende de 120 millions € à X, son réseau social racheté en 2022.

Cette sanction constitue la première application concrète du Digital Services Act (DSA), le règlement européen sur les services numériques entré en vigueur il y a deux ans. Une décision qui intervient après deux années d’enquête et qui s’annonce comme le début d’un bras de fer politique majeur entre Bruxelles et Washington.

Trois infractions majeures sanctionnées

La Commission européenne a retenu trois violations distinctes des obligations de transparence imposées par le DSA, toutes notifiées initialement en juillet 2024.

Le premier grief concerne la coche bleue, utilisée auparavant pour signaler des comptes officiels gratuits mais désormais vendue 7 euros par mois. Bruxelles estime que cette pratique constitue une forme de conception trompeuse qui viole le DSA. Selon les nouveaux paramètres de X, un compte doté d’une coche peut ne pas signaler un utilisateur réel et être un robot, a déclaré la Commission.

L’exécutif européen précise que si le DSA n’impose pas aux plateformes de vérifier l’identité de leurs membres, il leur interdit en revanche de prétendre faussement qu’une telle vérification a eu lieu. Ce système expose les utilisateurs à des risques accrus d’escroquerie par usurpation d’identité et de manipulation par des acteurs malveillants.

Le deuxième manquement porte sur le registre publicitaire de X, qui ne respecte pas les exigences de transparence du DSA. L’accès au répertoire est rendu difficile et des informations essentielles manquent, notamment l’identité de l’entité qui finance les campagnes publicitaires. Cette opacité empêche la surveillance efficace des risques, notamment la détection d’escroqueries ou de campagnes de menaces hybrides.

Enfin, X est accusé d’imposer des obstacles inutiles aux chercheurs indépendants qui veulent avoir accès à ses données publiques, comme le nombre de vues, de likes, de partages, les tendances de hashtags. Les conditions de service de la plateforme interdisent explicitement cet accès indépendant. En étudiant des phénomènes comme la polarisation des publics ou comment des contenus se propagent sur les réseaux sociaux, les chercheurs peuvent éventuellement détecter des risques systémiques pour nos démocraties, comme les tentatives d’ingérences étrangères lors des élections.

Une amende « proportionnée » selon Bruxelles

La Commission européenne a défendu le montant de la sanction, soulignant sa proportionnalité. Le DSA prévoit théoriquement des amendes pouvant atteindre 6% du chiffre d’affaires mondial annuel pour chaque infraction constatée. Face aux critiques, Henna Virkkunen, vice-présidente de la Commission chargée de la souveraineté technologique, a expliqué que la sanction prenait en compte la nature, la gravité et la durée des infractions commises.

Avant de préciser, les amendes se calculent sur base de critères qui tiennent compte de la nature des infractions, de leur gravité et de leur durée. Sur cette base, l’amende pour les coches bleues a été estimée à 45 millions €, celle pour les publicités à 35 millions et celle pour l’accès aux données à 40 millions €.

Une tempête politique transatlantique

La décision de Bruxelles a déclenché une vive réaction du côté américain, même avant son annonce officielle. Le vice-président américain JD Vance a dénoncé la démarche européenne en déclarant que l’UE devrait défendre la liberté d’expression au lieu de s’en prendre à des entreprises américaines pour des foutaises, s’attirant un message de remerciement d’Elon Musk.

Le chef de la diplomatie américaine Marco Rubio a estimé que l’amende infligée par l’Union européenne constituait une attaque contre le peuple américain par des gouvernements étrangers, affirmant que l’époque de la censure en ligne était révolue.

Face à ces accusations, Henna Virkkunen a fermement répondu que l’amende n’avait rien à voir avec de la censure, précisant que la Commission n’était pas là pour imposer les amendes les plus élevées, mais pour s’assurer que les lois sur le numérique soient respectées.

Elon Musk a déclaré samedi sur sa plateforme que l’UE devrait être abolie, dénonçant la surrégulation de l’Union européenne.

Cette affaire s’inscrit dans un contexte de tensions croissantes entre Washington et Bruxelles sur la régulation numérique et les relations commerciales.

Des enquêtes encore en cours

La sanction annoncée ne couvre que les infractions identifiées en juillet 2024. La Commission européenne a précisé que plusieurs enquêtes concernant X se poursuivent, notamment sur des soupçons de non-respect des obligations en matière de contenus illégaux et de désinformation. Bruxelles s’attend à ce que ces enquêtes soient bouclées plus rapidement que la première.

Le réseau X a entre 60 et 90 jours pour se mettre en conformité. S’il ne le fait pas, des amendes supplémentaires pourraient lui être infligées.

Un symbole de la souveraineté numérique européenne

Cette première amende dans le cadre du DSA marque un tournant dans l’approche réglementaire de l’Union européenne. La Commission montre qu’elle ne se laisse pas intimider par les pressions américaines, malgré un contexte de négociations commerciales tenduesX

Pour les utilisateurs européens de X, des changements sont attendus : interface modifiée, notifications renforcées, refonte du processus de vérification et amélioration de la transparence publicitaire. La plateforme devra également ouvrir l’accès à certaines données pour la recherche académique.

The post L’UE sanctionne X : première amende historique dans le cadre du DSA appeared first on Silicon.fr.

La plupart des organisations ont découvert la GenAI ces dernières années. Dès lors, elles ont avancé vite, très vite. Les usages ont rapidement fleuri et les projets se sont empilés, mais un constat a fini par s’imposer dans les discussions entre équipes techniques : impossible d’ignorer plus longtemps les risques spécifiques liés aux grands modèles de langage.

Car c’est peu de dire que la sécurité des LLM a, dans un premier temps, été reléguée au second plan. L’arrivée de l’OWASP LLM Top 10 change cet état de fait en apportant un cadre clair pour identifier les vulnérabilités critiques observées dans les applications et comprendre comment les atténuer.

L’OWASP, pour Open Web Application Security Project, est une organisation internationale dédiée à la sécurité des logiciels. Le référentiel LLM top 10, recense les 10 principaux risques de sécurité liés spécifiquement aux modèles de langage (LLM) et aux applications qui les utilisent. Il donne enfin un vocabulaire commun aux développeurs, aux architectes et aux équipes sécurité. Sa vocation est simple : rendre les charges de travail IA plus sûres, en offrant des repères que les entreprises n’avaient pas jusqu’ici.

L’initiative a d’ailleurs pris de l’ampleur et s’inscrit désormais dans le GenAI Security Project, un effort mondial qui dépasse la seule liste des dix risques initiaux et fédère plusieurs travaux autour de la sécurité de l’IA générative.

Ce mouvement répond à une réalité vécue sur le terrain. Beaucoup d’équipes peinent encore à s’aligner au moment de déployer des technologies GenAI : responsabilités dispersées, rythmes différents et une question récurrente sur la manière d’aborder ce sujet émergent. L’OWASP arrive justement pour apporter cette cohérence, avec des contrôles compréhensibles et applicables dans des environnements où tout s’accélère.

Sa singularité tient aussi à sa place dans l’écosystème. Là où des cadres de classification des menaces comme MITRE ATT&CK et MITRE ATLAS décrivent surtout les tactiques et techniques d’attaque, l’OWASP LLM top 10 se concentre sur les risques spécifiques aux modèles génératifs. Il offre ainsi une grille de lecture complémentaire et nécessaire pour mieux structurer les priorités.

GenAI, Kubernetes et l’élargissement de la surface d’attaque

Si l’OWASP LLM Top 10 arrive à point nommé, c’est aussi parce que les environnements techniques qui portent la GenAI ont profondément changé.

Les organisations ne se contentent plus d’utiliser des services grand public. Elles déploient désormais leurs propres modèles, souvent au sein de plateformes cloud native pensées pour absorber des volumes variables et des charges de calcul élevées.

L’écosystème s’est transformé à grande vitesse, avec l’adoption de solutions comme Llama 2, Midjourney, ElevenLabs, ChatGPT ou encore Sysdig Sage dans des environnements Kubernetes taillés pour la scalabilité et l’orchestration.

Cette transition a un effet immédiat car elle élargit la surface d’attaque. Un modèle d’IA déployé dans un cluster Kubernetes n’a rien à voir avec une application traditionnelle exécutée on-premises. Les risques ne sont plus seulement liés aux données ou au comportement du modèle, mais à toute la chaîne qui l’entoure. Un conteneur mal configuré, un composant obsolète ou un accès mal maîtrisé peuvent suffire à exposer l’ensemble de l’infrastructure.

La complexité de ces environnements accentue un phénomène déjà bien visible : l’absence de repères communs pour comprendre ce qui relève d’un risque LLM, d’une mauvaise configuration Kubernetes ou d’un problème de chaîne d’approvisionnement logicielle.

Dans un tel contexte, la seule intuition ne suffit plus. Les équipes doivent composer avec des technologies qui évoluent plus vite que les pratiques internes, tout en tenant compte d’un paysage réglementaire qui se densifie, notamment avec l’entrée en vigueur de l’AI Act en Europe en 2025.

C’est précisément cette convergence, qui englobe nouveaux usages, infrastructures distribuées et pression réglementaire, qui rend indispensable une approche structurée de la sécurité GenAI. Et c’est là que l’OWASP pose les premières briques d’une méthodologie enfin partagée.

Poser les fondations d’une sécurité opérationnelle et efficace !

Face à ces environnements qui se complexifient, l’adage à retenir est que l’on ne protège correctement que ce qu’on voit réellement. Or, la majorité des organisations manquent encore d’un inventaire fiable de leurs actifs IA, qu’il s’agisse de modèles internes ou de solutions tierces intégrées rapidement. L’OWASP rappelle d’ailleurs que cette visibilité constitue la première étape d’une sécurité GenAI solide.

C’est là que certaines approches prennent tout leur sens, comme l’identification automatique des endroits où les paquets IA s’exécutent, en reliant ces informations aux événements d’exécution (runtime), aux vulnérabilités et aux mauvaises configurations. L’objectif est simple : faire émerger les risques réels, là où ils apparaissent.

La visibilité passe aussi par la SBOM (Software Bill of Materials). En y intégrant les composants d’IA, les équipes disposent d’une liste complète de tous les éléments qui composent leurs charges de travail GenAI. Ce recensement permet ensuite de prioriser les charges de travail selon leur niveau de risque.

Enfin, pour structurer cette démarche, les organisations peuvent s’appuyer sur des rapports OWASP Top 10 préconfigurés et sur l’alignement avec MITRE ATLAS, qui éclaire la manière dont les modèles peuvent être ciblés selon des tactiques d’attaque documentées.

En réunissant ces briques (inventaire, SBOM et visibilité sur l’exécution au runtime) les équipes disposent non seulement d’informations, mais d’une lecture hiérarchisée et exploitable de leurs risques GenAI. C’est cette capacité à voir, comprendre et prioriser qui transforme enfin la sécurité de l’IA en pratique opérationnelle.

Philippe Darley est expert sécurité du Cloud chez Sysdig

The post { Tribune Expert } – Sécuriser la GenAI commence par un inventaire clair et une visibilité réelle sur ses composants appeared first on Silicon.fr.

L’éditeur français de logiciels de cybersécurité Evertrust annonce une levée de fonds de 10 millions € en Série A auprès du fonds de capital-risque américain Elephant. Cette opération doit permettre à la startup d’accélérer son développement sur les marchés européens et de consolider sa position d’acteur de référence dans la gestion des certificats numériques.

Fondée en 2017 par Kamel Ferchouche, Jean-Julien Alvado et Étienne Laviolette, Evertrust s’est transformée d’un cabinet de conseil en un éditeur de logiciels spécialisé dans deux technologies complémentaires : la PKI (Public Key Infrastructure) et le CLM (Certificate Lifecycle Management). La première permet l’émission et la gestion des certificats numériques, tandis que la seconde automatise leur cycle de vie.

Cet avantage technologique confère à Evertrust une position distinctive : l’entreprise est le seul acteur européen et l’un des quatre seuls au monde à proposer une offre intégrée couvrant ces deux segments.

Une croissance portée par des mutations du marché

Le modèle économique d’Evertrust repose sur une clientèle de grands comptes, avec plus de 25% des entreprises du CAC 40 parmi ses clients. Rentable depuis sa création, l’entreprise affirme réaliser encore plus de 80% de son chiffre d’affaires en France et emploie 40 collaborateurs.

Plusieurs facteurs structurels alimentent la demande pour ses solutions. La durée de validité des certificats publics, actuellement de 398 jours, va connaître une réduction drastique : 200 jours en 2026, 100 jours en 2027 et seulement 47 jours en 2029. Cette évolution rendra l’automatisation du renouvellement des certificats indispensable pour les organisations, qui doivent déjà gérer une multiplication exponentielle de ces artefacts cryptographiques.

Un argument de souveraineté numérique

Dans un contexte de tensions commerciales et réglementaires, Evertrust mise sur sa nature souveraine. Ses solutions sont conçues et hébergées en Europe et conformes aux standards internationaux comme eIDAS et NIST.

L’entreprise a récemment obtenu la certification CSPN de l’ANSSI pour sa plateforme PKI, un sésame qui renforce sa crédibilité auprès des acteurs publics et parapublics. Lauréate de la promotion 2025 du programme French Tech 2030, Evertrust bénéficie d’une reconnaissance institutionnelle qui appuie son développement.

Objectif : tripler les effectifs en cinq ans

Les 10 millions € levés serviront principalement à renforcer les équipes commerciales et techniques, qui devraient tripler d’ici cinq ans. L’entreprise prévoit également un changement de modèle de distribution : d’un modèle majoritairement direct en France, elle entend basculer vers un réseau de partenaires revendeurs et intégrateurs de solutions de sécurité sur les principaux marchés européens.

The post Evertrust lève 10 M€ pour s’imposer en leader de la PKI et du CLM appeared first on Silicon.fr.

Les délais de configuration se sont réduits, les consoles d’admin ont gagné en simplicité et la prise en charge des passkeys s’est généralisée.

Tels furent quelques-uns des constats formulés, fin 2024, dans la synthèse du Magic Quadrant dédié aux solutions autonomes de gestion des accès.

Un an plus tard, les passkeys laissent place, dans le discours de Gartner, au passwordless, sujet à une « large adoption ». Les identités décentralisées n’en sont pas au même stade, mais « gagnent du terrain », tandis que les solutions s’améliorent sur le volet accessibilité.

D’une année à l’autre, les exigences fonctionnelles à respecter ont peu évolué. Elles touchent aux services d’annuaire, à l’administration des identités (gestion « basique » de leur cycle de vie), au SSO/gestion des sessions, à l’authentification (accent sur les méthodes MFA robustes et les contrôles pour atténuer l’usage de mots de passe compromis) et à l’autorisation (accès adaptatif basé sur l’évaluation du risque).

La gestion des identités décentralisées a été prise en compte, mais n’était pas impérative. Même chose, entre autres, pour la gestion des accès machine, du consentement, des données personnelles, de la vérification d’identité et de l’autorisation granulaire (à base rôles ou d’attributs).

12 fournisseurs, 5 « leaders »

Les offreurs sont évalués sur deux axes. L’un prospectif (« vision »), centré sur les stratégies (sectorielle, géographique, commerciale, marketing, produit…). L’autre, sur la capacité à répondre effectivement à la demande (« exécution » : expérience client, performance avant-vente, qualité des produits/services…).

La situation sur l’axe « exécution » :

Rang	Fournisseur	Évolution annuelle
1	Ping Identity	+ 2
2	Microsoft	– 1
3	Okta	– 1
4	Transmit Security	nouvel entrant
5	CyberArk	– 1
6	Entrust	– 1
7	IBM	– 1
8	Thales	=
9	OpenText	– 2
10	One Identity	– 1
11	RSA	– 1
12	Alibaba Cloud	nouvel entrant

Sur l’axe « vision » :

Rang	Fournisseur	Évolution annuelle
1	Ping Identity	=
2	Okta	=
3	Microsoft	=
4	Transmit Security	nouvel entrant
5	Thales	– 1
6	IBM	– 1
7	CyberArk	– 1
8	One Identity	=
9	RSA	=
10	Entrust	– 3
11	Alibaba Cloud	nouvel entrant
12	OpenText	– 2

« Leaders » l’an dernier, IBM, Microsoft, Okta et Ping Identity le restent. Transmit Security les rejoint.

Au sens où Gartner définit les solutions autonomes de gestion des accès, Google, Salesforce et SAP auraient pu prétendre à une place dans ce Magic Quadrant. Ils n’ont le droit qu’à une « mention honorable » faute d’avoir été dans les clous sur la partie business. Il fallait être en mesure de revendiquer, avec cette activité, au moins 65 M$ de CA 2025 (maintenance incluse) ou bien au moins 1100 clients n’ayant pas de contrats sur d’autres produits.

Une proposition de valeur diluée chez IBM…

IBM parvient mettre la notoriété de sa marque, sa base de clientèle, ses expertises sectorielles et son écosystème au service de son activité sur ce marché. Il a su améliorer l’UX de sa solution (Verify) pour l’enregistrement en self-service et étendre la prise en charge des logins sociaux. Gartner apprécie les capacités d’administration déléguée et d’orchestration, ainsi que l’extensibilité. Il salue une roadmap « robuste » à court et long terme, portée par des investissements plus élevés que la moyenne sur ce segment.

L’ampleur du portefeuille sécurité d’IBM a tendance à diluer la proposition de valeur de la gestion des accès. Les parcours utilisateurs restent par ailleurs complexes sur la partie CIAM (accès des clients) : du support supplémentaire peut être nécessaire. La tendance à contractualiser sur le long terme peut limiter la flexibilité, tant du point de vue tarifaire que du passage à l’échelle.

… comme chez Microsoft

Les offres Entra ID (accès des employés) et Entra External ID (clients) bénéficient du bundling avec d’autres services Microsoft, qui les rend moins chères que les solutions concurrentes. Elles sont de plus soutenues par une infrastructure qui a fait ses preuves et par un vaste réseau de partenaires. Sur le plan fonctionnel, elles se distinguent sur la gestion des accès machine, la gestion du cycle de vie des identités, l’accès adaptatif et l’intégration de la GenAI.

La tendance au bundling présente évidemment des risques de lock-in. Gartner note aussi les efforts et les ressources techniques que peut nécessiter la connexion aux services tiers et aux applications héritées. Il souligne également que la stratégie marketing de Microsoft positionne la gestion des accès comme une brique d’une plate-forme de sécurité… et qu’elle complique par là même l’identification des capacités différenciantes de la solution. Entra ID n’a, pas ailleurs, pas de capacités d’orchestration visuelle fine des parcours utilisateurs.

Une tarification à bien étudier chez Okta

Au-delà de sa notoriété globale et de son réseau de partenaires, Okta se distingue sur le processus d’onboarding. Il est aussi crédité d’un bon point pour sa stratégie sectorielle entre intégrations et workflows personnalisables. Sur le plan fonctionnel, ses solutions se révèlent plus « capables » que la moyenne, en particulier sur les scénarios de développement applicatif. Quant à la stratégie marketing, elle est bien alignée sur les besoins et les tendances.

Okta a connu, sur l’année écoulée, une croissance nette de clientèle plus faible que certains concurrents. Sa tarification associant bundles et options « à la carte » doit être bien étudiée pour choisir le modèle adapté. Pour qui souhaite une approche monofournisseur, la vérification d’identité peut être un point de blocage, faute d’un support natif du standard W3C Verifiable Credentials.

Ping Identity, plus cher que la moyenne sur les accès employés et partenaires

Comme Okta, Ping Identity est au-dessus de la moyenne sur l’aspect fonctionnel. Gartner apprécie notamment la gestion des accès partenaires, l’administration déléguée, l’orchestration, l’extensibilité et le contrôle des accès aux API. Il affirme que la stratégie marketing donne une compréhension claire du positionnement de la solution. Et que l’expérience client s’est améliorée, à renfort de parcours personnalisés.

S’étant historiquement concentré sur les grandes entreprises, Ping Identity peut être perçu comme inadapté aux organisations de plus petite taille. Sa présence commerciale est limitée hors de l’Europe et de l’Amérique du Nord, où se concentre l’essentiel de sa clientèle. Les prix sont par ailleurs plus élevés que la moyenne sur certains scénarios (notamment les accès employés et partenaires). On surveillera aussi l’impact que l’acquisition de ForgeRock pourrait avoir en matière d’agilité.

Transmit Security, en retard sur les accès employés

Fonctionnellement parlant, Transmit Security est au-dessus de la moyenne sur le passwordless, l’authentification adaptative, l’orchestration et la détection des menaces sur les identités. Sa solution (Mosaic) propose une expérience client « robuste » et ses modèles de tarification sont clairs, contribuant à un des meilleurs ratios d’efficacité commerciale du marché.

Comme chez Ping Identity, la présence géographique est limitée et le focus est mis sur les grandes entreprises. Transmit Security est par ailleurs en retard sur la gestion des accès employés. Sa stratégie sectorielle se développe, mais des vides demeurent, notamment en matière de conformité.

Illustration générée par IA

The post La gestion des accès se détache des mots de passe appeared first on Silicon.fr.

Ce matin, sur la Toile, il était plus probable que d’habitude de tomber sur des erreurs 500.

En cause, un problème chez Cloudflare. Sans commune mesure, néanmoins, avec l’incident du 18 novembre ; en tout cas par sa durée : moins d’une heure*.

L’entreprise en a d’abord attribué la cause à une mise à jour de son WAF. L’objectif, a-t-elle expliqué, était d’atténuer la vulnérabilité React rendue publique la semaine dernière.

À la racine, un problème de journalisation

Cette vulnérabilité, on ne peut plus critique (score CVSS : 10), se trouve dans les composants serveur React. Plus précisément au niveau de la logique qui permet à un client d’appeler ces composants. Par un traitement non sécurisé des entrées, elle ouvre la voie à l’exécution distante de code sans authentification. Les versions 19.0, 19.1.0, 19.1.1 et 19.2.0 des packages react-server-dom-webpack, react-server-dom-parcel et react-server-dom-turbopack sont touchées.

À défaut de pouvoir agir directement sur ces packages, Cloudflare avait déployé, le 2 décembre, une règle WAF. « Un simple pansement », avait rappelé son CTO, ayant constaté l’émergence de variantes de l’exploit.

Concernant l’incident de ce matin, l’intéressé a apporté une précision, en attendant un compte rendu plus détaillé : le problème est né d’une désactivation de journalisation destinée à atténuer les effets de la vulnérabilité…

* Ticket ouvert à 9 h 56. Déploiement du correctif officialisé à 10 h 12. Incident considéré comme résolu à 10 h 20.

Illustration © Hywards – Shutterstock

The post Cloudflare tombe en panne en intervenant sur une faille critique appeared first on Silicon.fr.

Pour accéder au catalogue Gaia-X du CISPE, attention à ne pas suivre le lien que l’association affiche sur la page d’accueil de son site.

Nous en avons fait l’amère expérience. Ledit lien pointe vers une ancienne version du catalogue… qui n’est que partiellement fonctionnelle. Certains filtres sont inopérants (localisation des services, par exemple) tandis que d’autres ne renvoient aucun résultat (tri par fournisseur, par certification, par label Gaia-X). De nombreuses fiches sont par ailleurs en doublon voire plus ; et sur chacune, le JSON source est inaccessible (erreur 503). Les contenus mêmes ne sont plus à jour, reflétant les principes de Gaia-X tels qu’ils étaient essentiellement fin 2022.

Une maintenance depuis la France

À la « bonne » adresse, la spécification Gaia-X référente est celle de mars 2025. L’enregistrement des services passe toujours par le CISPE (démarche gratuite pour les membres et les affiliés). L’exploitation et la maintenance du catalogue restent à la charge de Cloud Data Engine, SASU francilienne née en 2023, quelques semaines avant le passage en prod.

Les services listés respectent un socle minimal d’exigences – dit « conforité standard » – attendues pour pouvoir participer à l’écosystème Gaia-X. Ils peuvent être labellisés à trois niveaux supplémentaires.
Le premier comporte des exigences en matière de droit applicable, de gouvernance et de transparence. Il est obtenu sur la base d’une autocertification.
Le deuxième requiert une possibilité de traiter les données en Europe uniquement. Le troisième ajoute des critères pour assurer l’immunité aux lois extra-européennes. L’un et l’autre impliquent un audit tiers sur la protection des données et la cybersécurité ; pas sur la portabilité et la soutenabilité.

De premières offres labellisées Gaia-X niveau 3

À l’occasion du Sommet Gaia-X 2025, le CISPE a mis en lumière l’intégration d’un premier bouquet d’offres de services labellisées au niveau 3. Au nombre de 9, elles émanent de 5 fournisseurs. Dont 3 français :

• Cloud Temple (IaaS open source, IaaS bare metal et PaaS OpenShift)
• OVHcloud (Hosted Private Cloud by VMware)
• Thésée Datacenter (hébergement dans ses deux datacenters des Yvelines)

Les étiquettes désignant les autres niveaux de conformité n’ont encore été attachées à aucun service (elles l’étaient pour quelques-uns dans l’ancienne version du catalogue).

Cloud Temple rejoint Ikoula, OVHcloud et Thésée Data Center

Côté certifications, certaines étiquettes n’ont, là aussi, pas encore été massivement attribuées. Illustration avec le code de conduite SWIPO, actuellement associé à seulement 4 services.

D’autres étiquettes, à l’instar de C5 (le « SecNumCloud allemand »), ne retournent quasiment pas de résultats, faute de fournisseurs nationaux référencés dans le catalogue. Pour le moment ils sont 13 :

• Quatre français (Cloud Temple, Ikoula, OVHcloud, Thésée Data Center)
• Deux espagnols (Gigas Hosting, Jotelulu)
• Cinq italiens (Aruba, CoreTech, Netalia, Opiquad, Seeweb)
• Un néerlandais (Leaseweb)
• Un américain (AWS)

Cloud Temple – non membre du CISPE, comme OVHcloud et Thésée Data Center – et Seeweb étaient les seuls de ces fournisseurs à ne pas figurer dans l’ancienne version du catalogue*.

Les quelque 600 services référencés sont presque tous localisés dans l’UE. Les 15 exceptions (États-Unis, Canada, Australie, Singapour) sont liées à OVHcloud.

Les tags relatifs aux catégories de services visent large. « Authentification », par exemple, est attribué autant au remote desktop et au PBX virtuel de Jotelulu qu’à l’hébergement web et au Veeam d’OVHcloud.

* Son intégration « a posteriori » se ressent : elle ne respecte par l’ordre alphabétique (Cloud Temple est positionné après CoreTech dans la liste déroulante du filtre fournisseurs).

Illustration générée par IA

The post Trois ans après, que devient le catalogue Gaia-X du CISPE ? appeared first on Silicon.fr.

Un smartphone à double pliage fait-il une bonne station de travail portable ?

Samsung a choisi cet angle d’attaque avec le Galaxy Z TriFold. Officialisé cette semaine, il sera commercialisé en Corée à partir du 12 décembre. Il est prévu de le distribuer également en Chine et aux États-Unis, entre autres. L’Europe n’est pas mentionnée en l’état.

Le prix affiché sur le shop Samsung coréen équivaut à un peu plus de 2000 €. C’est environ 50 % de plus que le ticket d’entrée du Galaxy Z Fold 7 (autour de 1300 €).
Sachant que ce dernier est vendu à partir de 2100 € TTC en France, on peut supposer, par règle de trois, qu’il faudrait compter environ 3200 € pour le Galaxy Z TriFold.

Pliage en U chez Samsung, en Z chez Huawei

Déplié, l’appareil offre une surface d’affichage de 10 pouces. Les trois panneaux – assimilables à autant de smartphones 6,5 pouces qu’on placerait côte à côte – se replient en U. Un système qui, selon Samsung, favorise la protection de cet écran.

Huawei n’a pas fait le même choix : ses Mate XT et XTs (lancés en février et septembre 2025, mais pas en France) se replient en Z. Cela permet d’utiliser une, deux ou trois parties de l’écran, qui est par ailleurs unique. Par contraste, le Galaxy Z TriFold a un écran secondaire distinct (celui qu’on utilise quand l’appareil est plié) et ne peut utiliser partiellement l’écran principal.

En 16:11, cet écran principal se prête mieux aux contenus widescreen que l’écran du Galaxy Z Fold 7, plus proche d’un format carré. Sa luminosité maximale est en revanche inférieure (1600 nits vs 2600, valeur qu’on ne retrouve que sur l’écran secondaire).

Un mode desktop autonome

Le Galaxy Z TriFold est le premier smartphone Samsung à inclure le mode DeX autonome : pas besoin d’écran externe pour enclencher ce mode desktop qui gère jusqu’à 4 bureaux virtuels avec 5 apps chacun.

L’appareil dispose d’un chevalet, mais dans cette configuration, le port USB devient difficilement accessible. Le module caméra rend par ailleurs délicate l’utilisation sur une surface plane (l’étui atténue le problème). Samsung n’a pas intégré la prise en charge du stylet S Pen.

Le système à trois panneaux a permis d’intégrer autant de batteries, pour une capacité totale de 5600 mAh (vs 4400 pour le Galaxy Z Fold). La recharge filaire est en 45 W, comme sur le Galaxy S25 Ultra (sans fil : 15 W ; recharge inversée : 4,5 W).

Un smartphone IP48 : gare aux poussières

Le processeur n’est pas le plus récent de chez Qualcomm. Il s’agit d’une version personnalisée du Snapdragon 8 Elite, lancé à l’automne 2024. Y sont associés 16 Go de RAM et 512 Go ou 1 To de stockage (pas de slot microSD).

Les appareils photo sont les mêmes que sur le Galaxy Z Fold 7 :

• Ultra-grand-angle 12 MP (focale 13 mm, soit 120 ° de champ de vision)
• Grand-angle 200 MP (24 mm, soit 85 ° ; zoom optique 2x)
• Téléobjectif 10 MP (67 mm, soit 36 ° ; zoom optique 3x)
• Caméra frontale de l’écran principal 10 MP (18 mm, soit 100 °)
• Caméra frontale de l’écran secondaire 10 MP (24 mm, soit 85 °)

On aura noté la certification IP48 du Galaxy Z TriFold. Sur le papier, cela signifie qu’il n’est pas résistant aux particules solides de moins d’un millimètre de diamètre. Samsung en déconseille d’ailleurs l’usage « à la plage ou à la piscine »… Et ajoute que la résistance à l’eau peut s’amoindrir avec le temps.

Plié, le Galaxy Z Fold mesure est épais d’environ 1,3 cm en son point le plus fin. Déplié, on descend jusqu’à 0,4 cm hors module caméra. L’ensemble pèse 309 g (contre 298 g pour les Mate XT et XTs).

Illustrations © Samsung

The post Galaxy Z TriFold : Samsung joue la carte « station de travail » appeared first on Silicon.fr.

Présent le 4 décembre à la conférence AI-Pulse à Paris , Yann LeCun a lâché quelques informations sur sa future start-up centrée sur la ’“Advanced Machine Intelligence” (AMI) et relevées par Reuters.

S’il na pas dévoilé le nom de baptême de sa prochaine entreprise, le futur ex scientifique en chef de l’IA chez Meta ( qu’il quittera en fin d’année) a indiqué son actuel employeur ne figurera pas parmi ses investisseurs.

Autre info : la start-up pourrait s’installer à Paris.

Fin novembre, le co-lauréat du prix Turing avait annoncé son départ pour créer une start-up consacrée aux « modèles du monde », une nouvelle génération de systèmes d’IA qui apprennent à partir de données visuelles et spatiales plutôt que textuelles.

À l’époque, il avait décrit Meta comme un « partenaire » sans préciser la nature exacte de cette relation.

Son départ intervient dans un contexte de profonde réorganisation de la division IA de Meta. Mark Zuckerberg a réorienté le laboratoire de recherche fondamentale en IA (FAIR), fondé par Yann LeCun en 2013, vers des produits commerciaux et les grands modèles de langage, une stratégie éloignée de sa vision.

Photo : © DR

The post On en sait (un peu) plus sur la future startup de Yann LeCun appeared first on Silicon.fr.

Un nouveau carrousel, un sous-menu de navigation en plus, et le score de performance environnementale d’une page web en pâtit.

L’agence Razorfish et le collectif Green IT font, dans la synthèse de leur dernier baromètre de l’écoconception digitale, une remarque au sujet de ces « contributions qui altèrent les scores à la longue ».

Les scores en question sont calculés avec l’algorithme EcoIndex. Trois paramètres techniques sont évalués en pondérés en fonction de leur contribution aux impacts écologiques : poids de la page (x 1), nombre de requêtes HTTP (x 2) et complexité du DOM (= nombre d’éléments sur la page ; x 3).

Le carrousel et le sous-menu de navigation pris pour exemple ont été ajoutés sur la homepage du site corporate de Veolia.

Un EcoIndex moyen en baisse dans le CAC 40…

Au niveau du CAC 40, Orange affiche le meilleur score : 57/100 en moyenne pour les 10 pages les plus visitées de son site corporate (données SEM RUSH). L’entreprise a gagné 26 points depuis la première édition du baromètre (2022), avec un DOM réduit de 11 % et 4 fois moins de requêtes.

Suivent, à 54/100, ArcelorMittal (- 18 points par rapport à l’an dernier) et TotalEnergies (+ 2 points). Puis Unibail-Rodamco-Westfield (53/100 ; – 6 points) et Vinci (52 ; – 4 points).

Sur l’ensemble du CAC 40*, le score moyen ressort à 35/100. Il revient ainsi à son niveau de 2022 (34/100), après s’être élevé à 40/100 en 2023 et 39/100 en 2024.

… et sur les sites e-commerce

Dans la catégorie e-commerce, eBay obtient le meilleur score, bien qu’en baisse (43/100 ; – 7 points). Il devance Rue du Commerce (40/100), Darty (28/100), Oscaro (27/100) et Etsy (27/100 ; + 5 points).

Sur les 40 sites e-commerce les plus visités par les Français (classement E-commerce Nation, 2^e semestre 2025), la score moyen est de 18/100. La tendance baissière constatée l’an dernier sur le top 50 (- 3 points, à 20/100) se poursuit donc. Elle est corrélée à la complexification des DOM (3977 éléments en moyenne, volume le plus élevé dans l’historique du baromètre).

Penser génératif avant de penser agentique

L’an dernier, Razorfish et Green IT avaient analysé la performance environnementale des interfaces de 12 IA génératives.
Une moitié était axée sur la production de texte (ChatGPT, Claude, Copilot, Gemini, Mistral AI, Perplexity) ; l’autre, sur la création d’images (Civitai, DALL-E, Firefly, Leonardo AI, Midjourney, Pixlr). Les premières avaient été évaluées sur 5 prompts (requêtes de type liste, simplification, comparateur, tableau et code). Les secondes, sur 3 prompts en versions « simple » et « complexe ».

Cette année, l’analyse s’est centrée sur ChatGPT et Perplexity, pour 7 cas d’usage. 4 possibles en génératif (rechercher des horaires, trouver des billets, comparer des produits, créer un itinéraire de voyage). 3 impliquant de l’agentique (mise au panier, réservation de restaurant, remplissage de formulaire).

Pour les besoins génératifs, le meilleur score revient à l’interface standard de ChatGPT (47/100, contre 35/100 pour Perplexity).
Pour les besoins agentiques, c’est l’inverse (30/100 pour Perplexity, contre 17/100 pour ChatGPT). Un écart lié au nombre de requêtes (148 vs 448) et au poids (3,1 Mo vs 11 Mo).

La mise au panier a été testée sur le site de Monoprix, en demandant d’ajouter les ingrédients nécessaires pour préparer « la meilleure recette de fondant au chocolat (très bien notée et validée par plusieurs sites culinaires) ». Il a fallu 14 minutes avec ChatGPT Agent, qui a visité 18 pages. Perplexity a mis un peu moins de 3 minutes en en visitant 4… et en en exploitant 19 indexées au préalable.

Dans les deux cas, c’est le chargement des pages web qui pèse : 85 % des émissions équivalent carbone sur Perplexity, 88 % sur ChatGPT.
Sur les cas d’usage réalisables en mode génératif, l’usage de l’agentique fait exploser le coût environnemental (x 15 sur Perplexity, x 60 sur ChatGPT).

* Composition de l’index au 1^er janvier 2025. Un changement par rapport au baromètre précédent : sortie de Vivendi, entrée de Bureau Veritas.

Illustration générée par IA

The post Écoconception web : Orange en tête d’un CAC 40 qui stagne appeared first on Silicon.fr.

Pour sécuriser ses e-mails, pas simple de faire avec un seul fournisseur.

Telle est en tout cas la vision de Gartner, qui l’exprime dans la synthèse du dernier Magic Quadrant consacré à ce marché. Il la justifie notamment par la difficulté à mesurer l’efficacité des détections. Et recommande d’autant plus de combiner les offres que les chevauchements entre elles se multiplient, favorisant la négociation de remises.

Autre observation : la distinction entre SEG (Secure email gateway) et ICES Integrated cloud email security) commence à s’estomper.
Dans la terminologie du cabinet américain, l’ICES est au SEG ce que l’EDR est – dans une certaine mesure – à l’antivirus : une évolution censée, notamment à renfort d’analyse comportementale, aller au-delà de la détection sur la base de signatures. Elles sont par ailleurs moins périmétriques, s’intégrant le plus souvent aux messageries par API (certaines utilisent des règles de routage ou de la journalisation).

La plupart des fournisseurs de SEG proposent désormais des options de déploiement par API. Tandis que les ICES sont, de plus en plus, enrichis pour effectuer du pre-delivery, soit via les enregistrements MX, soit par modification des règles de flux de messagerie.

La plupart des offreurs proposent désormais une forme de sécurité pour les applications collaboratives. En parallèle, les simulations de phishing évoluent à l’appui de modèles de langage. Lesquels contribuent aussi à étendre le support linguistique des moteurs de détection, au même titre que la vision par ordinateur et l’analyse dynamique de pages web. La détection des mauvais destinataires progresse également grâce à ce même socle (validation sur la base des conversations précédentes).

Trend Micro n’est plus « leader » ; Darktrace et Microsoft le deviennent

D’une édition à l’autre de ce Magic Quadrant, les critères obligatoires sur le plan fonctionnel sont globalement restés les mêmes. Dans les grandes lignes, il s’agissait toujours de proposer un produit indépendant capable de bloquer ou de filtrer le trafic indésirable, d’analyser les fichiers et de protéger contre les URL malveillantes. L’an dernier, il fallait aussi assurer une protection contre la compromission de comptes grâce à divers outils analytiques. Cette année, ces outils sont pris sous un autre angle : l’analyse du contenu des messages et l’exposition de leur sémantique à des admins.

Cisco, classé l’an dernier, ne l’est plus cette fois-ci, faute d’avoir rempli l’intégralité de ces critères. Egress et Perception Point ont aussi disparu des radars, mais parce qu’ils ont été acquis respectivement par KnowBe4 et Fortinet.

Sur l’indicateur « exécution », qui traduit la capacité à répondre à la demande du marché (qualité des produits/services, tarification, expérience client…), la situation est la suivante :

Rang	Fournisseur	Évolution annuelle
1	Proofpoint	=
2	Check Point	+ 2
3	Darktrace	+ 5
4	Abnormal AI	+ 1
5	Mimecast	+ 1
6	Trend Micro	– 4
7	Microsoft	– 4
8	KnowBe4	– 1
9	Fortinet	+ 1
10	IRONSCALES	– 1
11	Barracuda	+ 2
12	Cloudflare	=
13	Libraesva	nouvel entrant
14	RPost	nouvel entrant

Sur l’indicateur « vision », reflet des stratégies (sectorielle, géographique, commerciale, marketing, produit…) :

Rang	Fournisseur	Évolution annuelle
1	Abrnormal AI	=
2	KnowBe4	+ 3
3	Proofpoint	– 1
4	Mimecast	– 1
5	Check Point	+ 4
6	Darktrace	+ 6
7	Barracuda	=
8	Cloudflare	+ 5
9	IRONSCALES	– 3
10	Microsoft	=
11	Fortinet	– 3
12	Trend Micro	– 8
13	Libraesva	nouvel entrant
14	RPost	nouvel entrant

Des 6 fournisseurs classés « leaders » l’an dernier, 5 le sont restés : Abnormal AI, Check Point, Know4Be (Egress), Mimecast et Proofpoint. Trend Micro a rétrogradé chez les « challengers » (plus performants en exécution qu’en vision).
Darktrace et Microsoft, « challengers » l’an dernier, sont désormais des « leaders ».

Chez Abnormal AI, les derniers développements ne convainquent pas

Abnormal AI se distingue par ses investissements marketing, la qualité de sa relation client et sa stratégie commerciale qui le rend particulièrement compétitif sur les services professionnels.

Ses développements récents ont cependant échoué à étendre la couverture de son offre aux menaces les plus significatives, remarque Gartner. Qui souligne aussi le peu de ressources commerciales hors Europe et Amérique du Nord par rapport aux autres « leaders », ainsi qu’un moindre effectif sur des aspects comme le product management et la recherche en threat intelligence.

Check Point, pas le plus présent sur les shortlists

Au-delà de la viabilité de son activité sur ce segment, Check Point a, comme Abnormal AI, des pratiques « robustes » en matière de relation client. Gartner salue aussi une interface intuitive et une large couverture des cas d’usage rencontrés dans la sécurisation des e-mails.

Check Point se retrouve toutefois moins souvent sur les shortlists que les autres « leaders ». Il a également moins développé qu’eux sa stratégie verticale et la capacité à régionaliser ses services.

Chez Darktrace, l’effet des ajustements tarifaires se fait attendre

Darktrace se distingue par la nette augmentation de ses effectifs de support technique. Ainsi que par sa feuille de route, jugée bien alignée sur les besoins émergents et potentiellement génératrice d’opportunités par rapport à la concurrence.

Les ajustements de prix effectués depuis le précédent Magic Quadrant doivent encore se refléter dans le sentiment client, observe Gartner. Qui note aussi, par rapport aux autres « leaders », une stratégie marketing moins « agressive » et un retard sur les capacités de régionalisation.

Moins de profondeur fonctionnelle chez KnowBe4

Comme Darktrace, KnowBe4 se distingue par sa roadmap., entre protection contre la compromission de comptes et sécurisation du collaboratif. Sa stratégie verticale fait également mouches, comme l’acquisition d’Egress et la viabilité globale de l’entreprise.

KnowBe4 ne propose néanmoins pas la même profondeur fonctionnelle que les autres « leaders ». Il est aussi en retard sur la relation client et sur le marketing (positionnement non différencié).

Avec Microsoft, attention au bundling

Au-delà de sa viabilité et de son historique sur ce marché, Microsoft se distingue par l’étendue de ses ressources de support et de formation – y compris tierces. Et par sa capacité à répondre effectivement aux menaces émergentes.

Sur le volet services et support, la qualité s’avère variable. Quant à la stratégie produit, elle n’est pas pleinement alignée sur les besoins, en conséquence d’un focus sur des fonctionnalités qui améliorent l’efficacité plutôt que la sécurité. Vigilance également sur la tendance au bundling avec d’autres produits : Microsoft y recourt à un « degré supérieur » aux autres fournisseurs.

Le licensing s’est complexifié chez Mimecast

Gartner apprécie les effectifs que Mimecast a alloués au support technique et à la gestion produit. Il salue aussi le programme partenaires, le niveau de remise sur les contrats pluriannuels et, plus globalement, la visibilité de l’offre sur ce marché.

Depuis l’an dernier, le licensing est devenu plus complexe. S’y ajoute un retard par rapport aux autres « leaders » en matière de relation client. Gartner signale aussi un manque de liant entre le focus sur le risque humain et les enjeux de sécurité des e-mails.

Prix en nette hausse chez Proofpoint

Proofpoint propose un outillage plus large que la concurrence, et continue à étendre son portefeuille – par exemple à la sécurité du collaboratif. Il se distingue aussi par la diversité de sa clientèle et, plus généralement, par la viabilité de son activité.

De la diversité, il y en a moins du point de vue de la présence géographique, en tout cas par rapport aux autres « leaders ». Et la stratégie marketing n’est pas la plus différenciée sur le marché. Les prix ont par ailleurs nettement augmenté en l’espace d’un an.

Illustration générée par IA

The post Sécurité des e-mails : l’option multifournisseur s’impose appeared first on Silicon.fr.

Le Future of Life Institute vient de publier l’édition 2025 de son AI Safety Index, un rapport qui évalue les pratiques de sécurité des principales entreprises développant des intelligences artificielles avancées.

Les conclusions sont sans appel : aucune entreprise n’atteint l’excellence en matière de sécurité, et le secteur dans son ensemble reste dangereusement mal préparé face aux risques existentiels que pourraient poser les IA futures.

Un classement général décevant

Sur les huit entreprises évaluées, aucune n’obtient une note maximale. Le meilleur résultat revient à Anthropic avec un simple C+, suivi d’OpenAI (C) et de Google DeepMind (C-). Les autres acteurs ( xAI, Z.ai, Meta, DeepSeek et Alibaba Cloud) obtiennent des notes nettement inférieures, allant de D à F.

Cette situation révèle que même les leaders du secteur se situent tout au plus dans la moyenne. L’industrie de l’IA, malgré ses ambitions affichées de développer des systèmes toujours plus puissants, est loin de disposer des garde-fous nécessaires.

Anthropic : le meilleur élève, mais encore insuffisant

Malgré certaines critiques, Anthropic demeure l’entreprise la plus responsable selon l’index. Elle se distingue par une gouvernance solide (statut de Public Benefit Corporation), des efforts significatifs en recherche de sécurité, un cadre de sécurité relativement développé et une communication transparente sur les risques.

Toutefois, des faiblesses importantes subsistent. Le rapport souligne notamment l’absence récente d’essais sur l’amélioration des capacités humaines dans le cycle d’évaluation des risques, ainsi qu’un passage par défaut à l’utilisation des interactions des utilisateurs pour l’entraînement des modèles.

Les recommandations adressées à Anthropic incluent la formalisation de seuils de risques mesurables, la documentation de mécanismes concrets d’atténuation, l’amélioration de l’indépendance des évaluations externes et la publication d’une version publique robuste de sa politique de lanceurs d’alerte.

OpenAI : des progrès, mais un écart entre discours et pratique

OpenAI se distingue par un processus d’évaluation des risques plus large que certains concurrents et par la publication, unique parmi ses pairs, d’une politique de lanceur d’alerte (whistleblowing) suite à sa médiatisation.

Néanmoins, le rapport appelle l’entreprise à aller plus loin : rendre ses seuils de sécurité réellement mesurables et applicables, accroître la transparence vis-à-vis des audits externes, et surtout aligner ses positions publiques avec ses engagements internes.

Google DeepMind : des avancées timides

DeepMind montre des progrès en matière de transparence, ayant notamment complété le questionnaire de l’AI Safety Index et partagé des éléments de politique interne, comme son dispositif de « whistleblowing ».

Cependant, les fragilités persistent : l’évaluation des risques reste limitée, la validité des tests externes est jugée faible, et le lien entre la détection de risques et le déclenchement de mesures concrètes demeure flou.

Les autres acteurs : des efforts marginaux

Certaines entreprises ont entamé des démarches d’amélioration. Par exemple, xAI a publié un cadre de sécurité pour ses « IA de frontière », et Meta a formalisé un cadre avec seuils et modélisation des risques.

Mais les évaluations restent superficielles ou incomplètes : les couvertures de risque sont restreintes, les seuils peu crédibles, les mécanismes d’atténuation flous ou absents, et la gouvernance interne insuffisante. On note notamment l’absence de politique de lanceurs d’alerte et un manque d’autorité claire en cas de déclenchement de risques.

Pour les entreprises les moins bien notées, notamment DeepSeek et Alibaba Cloud, les progrès constatés sont très modestes, principalement sur la publication de cadres de sécurité ou la participation à des standards internationaux.

Le talon d’Achille : la sécurité existentielle

Le constat le plus alarmant du rapport concerne la sécurité existentielle, c’est-à-dire la capacité à prévenir des catastrophes majeures comme la perte de contrôle ou le mésalignement (misalignment).

Pour la deuxième édition consécutive, aucune entreprise n’obtient une note supérieure à D dans ce domaine. Cela signifie qu’en dépit des ambitions exprimées par certains acteurs de développer une AGI ou une superintelligence dans la décennie, aucune démarche crédible et concrète de planification pour garantir le contrôle ou l’alignement à long terme n’a été mise en place.

Un membre du comité d’experts qualifie ce décalage entre la cadence des innovations techniques et l’absence de stratégie de sécurité de profondément alarmant.

Cette situation pose plusieurs défis majeurs :

Un risque structurel : Si les entreprises continuent à développer des IA sans plans tangibles de contrôle existentiel, nous pourrions nous diriger vers des systèmes dont le comportement échappe à tout encadrement, posant potentiellement un danger global.

Un problème de gouvernance collective : L’absence d’un standard universel, d’un plan de surveillance indépendant ou d’une régulation contraignante rend la sécurité de l’IA dépendante de la bonne volonté des entreprises.

Une dissonance entre ambitions et préparation : Nombreuses sont les acteurs qui visent l’AGI dans la décennie, mais aucun ne démontre qu’il a envisagé, préparé ou traduit cela en mesures concrètes.

Les recommandations du rapport

Face à ce constat, le rapport formule plusieurs recommandations à destination des entreprises, des régulateurs et des décideurs publics.

D’abord, les entreprises doivent dépasser les déclarations d’intention et produire des plans concrets, chiffrés et mesurables, avec des seuils de risque clairs, des mécanismes d’alerte, des protocoles d’atténuation et une vraie gouvernance interne, idéalement avec une surveillance indépendante..

Ensuite, les entreprises devraient s’engager publiquement à respecter des standards communs, par exemple en adoptant l’AI Act  dans l’Union Européenne ou un code de bonnes pratiques similaire, et en coopérant à des initiatives globales de gouvernance de l’IA.

Enfin, en cas d’intention réelle de développer des IA très puissantes, les acteurs doivent clarifier leurs objectifs et expliquer comment ils comptent garantir le contrôle, l’alignement et la prévention des risques existentiels.

Limites méthodologiques

Il convient de noter que les évaluations reposent sur des éléments publics ou documentés. Il ne s’agit pas d’audits internes secrets, mais d’observations sur ce que les entreprises ont rendu public ou déclaré. Par conséquent, l’index mesure ce que l’on sait des pratiques, ce qui signifie que des efforts internes invisibles pourraient exister sans être capturés.

De plus, l’édition 2025 couvre des pratiques jusqu’à début novembre 2025 et ne prend pas en compte les événements récents, lancements de nouveaux modèles ou annonces postérieures à cette date.

---

AI Safety Index 2025 : la méthodologie L’AI Safety Index 2025 évalue huit entreprises majeures du secteur : Anthropic, OpenAI, Google DeepMind, xAI, Z.ai, Meta, DeepSeek et Alibaba Cloud. Sources d’information Les évaluations reposent exclusivement sur des éléments publics ou documentés fournis par les entreprises. Il ne s’agit pas d’audits internes confidentiels, mais d’une analyse de ce que les entreprises ont choisi de rendre public ou de déclarer officiellement. Certaines entreprises ont complété le questionnaire de l’AI Safety Index, permettant une évaluation plus précise. Système de notation Le rapport utilise un système de notation allant de A (excellent) à F (insuffisant), avec des graduations intermédiaires (A+, A, A-, B+, B, etc.). Les notes sont attribuées par domaine d’évaluation, notamment : La gouvernance et la transparence L’évaluation des risques Les mécanismes d’atténuation La sécurité existentielle Les politiques de lanceurs d’alerte L’indépendance des audits externes Limites reconnues L’index mesure uniquement ce qui est connu publiquement des pratiques des entreprises. Des efforts internes significatifs pourraient exister sans être capturés par cette évaluation. Le rapport mentionne explicitement ses limites méthodologiques. L’édition 2025 couvre les pratiques jusqu’à début novembre 2025 et ne prend pas en compte les événements, lancements de modèles ou annonces postérieures à cette date de collecte.

The post AI Safety Index 2025 : un bilan inquiétant de la sécurité de l’IA appeared first on Silicon.fr.

Des checkpoints, du replay… et ça donne des fonctions Lambda « durables ».

AWS a mis cette option en lumière lors de sa conférence re:Invent 2025. La promesse : des exécutions qui peuvent durer jusqu’à 1 an, avec une reprise fiable après interruption ou mise en pause.

Un SDK à intégrer dans le code des fonctions permet d’implémenter les primitives qui gèrent ce mécanisme. Les mises en pause peuvent se faire pour une durée déterminée. On peut aussi conditionner la reprise à un événement donné.

La facturation se fait sur trois plans :

• Opérations « durables » (étapes, pauses, callbacks) : 8 $ le million
• Données écrites : 0,25 $/Go
• Données conservées : 0,15 $/Go/mois

Lambda en un peu moins serverless

Autre option mise en avant : les instances Lambda managées. Il s’agit ici de choisir les configurations EC2 sur lesquelles exécuter les fonctions.

On crée pour cela des « fournisseurs de capacités ». Ces fournisseurs s’exécutent dans le compte AWS, au sein d’un VPC (et au moins d’un sous-réseau). On peut en paramétrer certains aspects :

• Architecture CPU
• Types d’instances autorisées (liste blanche, liste noire ou sans restriction)
• Nombre maximal d’instances
• Mode de mise à l’échelle (manuelle ou automatique)
• Clé de chiffrement EBS (éventuellement personnalisée)

Un autre modèle de concurrence…

Lorsqu’on publie une version d’une fonction associée à un fournisseur de capacité, Lambda lance des instances managées (3 par défaut, pour la résilience). Ou bien il en utilise des existantes si les ressources sont suffisantes pour accueillir l’environnement d’exécution.
De même, un environnement d’exécution peut gérer plusieurs invocations en parallèle (64 maximum). Le modèle de concurrence est donc différent de celui de Lambda « standard » (une invocation = un environnement).

… de sécurité…

Ce système suppose que la sûreté des threads, la gestion d’état et l’isolation du contexte doivent être gérés différemment en fonction du contexte.

Les fournisseurs de sécurité constituent en fait la limite de confiance. Avec les instances Lambda managées, les fonctions s’exécutent effectivement dans des conteneurs, lesquels ne fournissent pas le même niveau de sécurité que la techno de micro-VM Firecracker utilisée en standard.

… de scaling…

Avec les instances Lambda managées, pas de démarrage à froid. La mise à l’échelle est asynchrone, sur la base de signaux de consommation CPU. Dans cet esprit, l’option est donc à réserver aux workloads dont le trafic est prévisible. AWS ne garantit d’ailleurs pas la stabilité si la charge fait plus que doubler dans un intervalle de 5 minutes.

Quatre paramètres influent sur la mise à l’échelle :

• Quantités de mémoire et de vCPU allouées à une fonction
• Concurrence maximale par environnement
• Cible d’utilisation de ressources
• Types d’instances autorisés

… et de tarification

Les instances Lambda managées sont facturées au prix d’EC2 à la demande… avec 15 % de frais supplémentaires. L’option permet néanmoins d’exploiter d’éventuelles remises (savings plans, instances réservées…). Il faut ajouter des frais de 0,20 $ par million de requêtes.

Illustration principale © Aryan – Adobe Stock

The post Fonctions durables, instances managées… AWS Lambda devient plus flexible appeared first on Silicon.fr.

Plus besoin de shards ni de requêtes fédérées : vous pouvez consolider vos données vectorielles en un seul index.

AWS en fait l’un des arguments de S3 Vectors, lancé en disponibilité générale lors de la re:Invent.

Avec S3 Vectors, la promesse d’un index unique

Le service était en preview depuis juillet. Il apporte une gestion native des vecteurs dans S3, avec un type de bucket spécifique. Sur le papier, c’est une alternative moins onéreuse à Aurora Serverless et OpenSearch Serverless, en contrepartie de temps de réponse allongés (« sous la seconde », affirme AWS).

La préversion permettait de stocker jusqu’à 50 millions de vecteurs par index (et 10 000 index par bucket). Avec la version commerciale, on passe à 2 milliards, d’où l’argument de la consolidation. Autre seuil relevé : le nombre maximal de résultats par requête (100 désormais, contre 30 en preview). Quant à la latence, elle est maintenant « fréquemment sous les 100 ms ».

S3 Vectors a une intégration avec Bedrock Knowledge Bases (RAG) et avec Amazon OpenSearch (utilisation comme moteur sur les clusters managés ou injection d’un snapshot dans la version serverless).

L’accélération GPU activée sur OpenSearch

En parallèle, une option d’accélération GPU fait son entrée sur l’OpenSearch d’AWS. Promesse : construire des bases vectorielles « jusqu’à 10 fois plus vite » pour un quart du prix traditionnel, grâce à un usage optimisé de l’infra. En complément, il devient possible de régler les niveaux de rappel et de latence souhaités.

Une mémoire épisodique pour les agents Bedrock

À l’occasion de la re:Invent, il y a aussi du nouveau dans Bedrock AgentCore. Cette offre, lancée à l’été 2025, est dans la lignée de Bedrock Agents. Elle en a étendu les capacités (gestion native de MCP et contrôle plus fin de la mémoire, par exemple) et en a désagrégé la plupart en modules indépendants, par ailleurs « détachés » de Bedrock de sorte qu’ils prennent en charge des technologies non disponibles sur la plate-forme.

Voilà Bedrock AgentCore doté d’une forme de mémoire épisodique. Avec cette stratégie, les agents capturent des « épisodes structurants » (contexte, processus de raisonnement, actions, résultats). Ils sont censés pouvoir ainsi agir de façon plus cohérente lorsqu’ils rencontrent des situations similaires.

AWS dote aussi AgentCore de la diffusion audio bidirectionnelle. Lors des interactions vocales, l’agent peut être interrompu et s’adapter au nouveau contexte sans avoir à terminer son action au préalable.

Un service managé de supervision est également ajouté, mais pour le moment en preview. On peut y intégrer des évaluations personnalisées en plus de celles livrées pour analyser des indicateurs tels que la précision, l’utilité, la concision et la sûreté. Les résultats sont délivrés dans CloudWatch.

Autre preview : celle de la fonctionnalité Policy in AgentCore. Elle permet d’intercepter les appels d’outils sur la passerelle et de leur appliquer des stratégies définies en langage naturel ou avec Cedar.

Les derniers modèles Mistral et Gemma ajoutés sur Bedrock

AWS a aussi profité de la re:Invent pour rappeler les derniers ajouts de modèles ouverts sur Bedrock. Parmi eux :

• Mistral Large 3, Ministral 3 (3B, 8B, 14B), Magistral Small 1.2, Voxtral Mini 1.0, Voxtral Small 1.0
• Gemma 3 (4B, 12B, 27B)
• Kimi K2 Thinking (de Moonshot AI)
• MiniMax M2 (de MiniMax AI)
• Nemotron Nano 2 9B et une version « vision » 12B (de NVIDIA)
• GPT-OSS-safeguard 20B et 120B (modèles de modération de contenu)
• Qwen3-Next-80B-A3B et Qwen3-VL-235B-A22B

Nova Sonic : une deuxième génération plus polyglotte

Amazon enrichit aussi sa propre famille de modèles Nova. Avec notamment Nova 2 Sonic.

La première génération de ce modèle de reconnaissance et de synthèse vocales avait été lancée en avril. La deuxième gère mieux les entrées alphanumériques, les énoncés courts, les accents, le bruit de fond et l’audio qualité téléphonie (8 kHz). Avec elle arrivent les « voix polyglottes » (capacité à changer de langue au milieu d’une conversation), les appels d’outils asynchrones et un réglage de sensibilité pour la détection de voix (ce qui laisse plus ou moins de temps à l’utilisateur pour finir sa phrase).

AWS lance Nova dans le bain de l’automatisation web

Sous la marque Nova Forge, AWS permet de continuer l’entraînement de ses propres modèles à partir de divers checkpoints, en utilisant des jeux de données spécialisés « sur étagère » ou en en important. L’ensemble repose sur l’outillage SageMaker AI et permet d’effectuer éventuellement de l’apprentissage par renforcement.

On trouve aussi un modèle Amazon (Nova 2 Lite) à la base de Nova Act, service d’automatisation agentique pour les navigateurs web. Il est intégré avec le framework d’ochestration Strands Agents.

Les données synthétiques sous l’angle privacy

Les serveurs de tracking MLflow qu’on peut greffer depuis l’an dernier à SageMaker pour superviser les expérimentations ML disposent désormais d’une option serverless. Avec la possibilité de partager des instances entre domaines et comptes AWS.

Le service Clean Rooms (salles blanches de données) permet quant à lui maintenant de créer des jeux de données synthétiques (tabulaires, destinées à entraîner des modèles de régression et de classification ; pas des LLM). Le système utilise un modèle qui reproduit les patterns statistiques du dataset d’origine tout en éliminant les données identifiantes. En ce sens, il est présenté comme une alternative aux techniques d’anonymisation.

AI Factories : AWS s’approprie aussi la notion

AWS s’approprie le concept des AI Factories en lançant une offre sous ce nom. On n’en sait pas grand-chose à l’heure actuelle, sinon qu’elle doit permettre de déployer des clusters IA managés (puces Trainium et NVIDIA + services AWS) dans les datacenters des clients, « comme une région AWS privée ». Premier client référent : l’entreprise saoudienne HUMAIN, qui va installer sur place une « zone IA » avec jusqu’à 150 000 GPU.

Des fonctions Lambda « durables »

Les fonctions Lambda durables ne sont pas spécifiques aux workloads IA, mais elles sont susceptibles de faciliter leur exécution.

Par « durables », il faut entendre « dont la durée de vie peut atteindre 1 an ». Elle peuvent effectivement être mises en pause jusqu’à ce que des conditions spécifiques soient remplies (typiquement, des événements externes). Seul le temps de calcul actif est facturé.

Un SDK s’intègre au code des fonctions pour pouvoir implémenter ces pauses. Ainsi que des « étapes » permettant de ne pas reprendre l’exécution depuis le début en cas d’échec.

Illustration principale générée par IA

The post AWS re:Invent : l’AI Factory, une grammaire désormais légitime ? appeared first on Silicon.fr.

La pression monte sur OpenAI. Dans un mémo interne envoyé ce lundi et consulté par le Wall Street Journal, Sam Altman convoque une « alerte rouge » pour améliorer la qualité de ChatGPT. Une décision qui implique de reléguer d’autres projets au second plan, dont le développement de la publicité, des agents IA pour le shopping et la santé, ainsi que Pulse, un assistant personnel produisant des actualités matinales personnalisées.

Ce virage stratégique intervient alors que Google vient de reprendre la main technologique. Le géant de Mountain View vient de lancer son modèle Gemini 3, qui a surpassé le GPT-5 d’OpenAI sur les tests de référence de l’industrie. De son côté, Anthropic, autre rival montant, a également dépassé OpenAI avec son modèle Opus 4.5.

Les chiffres témoignent que la dynamique profite à Google qui affirme que sa base d’utilisateurs actifs mensuels est passée de 450 millions en juillet à 650 millions en octobre, dopée notamment par le lancement d’un générateur d’images en août. Plus révélateur encore : d’après Similarweb, les internautes passent désormais plus de temps à discuter avec Gemini qu’avec ChatGPT, même si OpenAI conserve une large avance en nombre d’utilisateurs avec plus de 800 millions d’utilisateurs hebdomadaires.

Un modèle économique sous tension

Le défi pour OpenAI ne se limite pas à la technologie. L’entreprise fait face à un désavantage structurel majeur : elle n’est pas rentable et doit lever des fonds quasiment en continu pour survivre, contrairement à Google qui peut financer ses investissements sur ses revenus courants. Selon ses propres projections financières, OpenAI devra atteindre environ 200 milliards $ de chiffre d’affaires pour devenir profitable en 2030.

Dans son mémo, Sam Altman insiste sur la nécessité d’apporter des améliorations substantielles à ChatGPT, en matière de personnalisation, de rapidité, de fiabilité et de capacité à répondre à un éventail plus large de questions. Pour y parvenir, il a instauré des conférences téléphoniques quotidiennes avec les équipes responsables et encouragé les transferts temporaires entre services.

Cette « alerte rouge » succède à une précédente « alerte orange ». OpenAI utilise un système de trois codes couleur (jaune, orange, rouge) pour hiérarchiser l’urgence des problématiques à traiter.

Malgré ces difficultés, Sam Altman conserve des arguments pour rassurer. Dans son mémo, il a affirmé qu’un nouveau modèle de raisonnement prévu la semaine prochaine surpassera le dernier Gemini de Google. Nick Turley, responsable de ChatGPT, a d’ailleurs souligné lundi soir sur X que l’objectif était de poursuivre la croissance « tout en rendant ChatGPT encore plus intuitif et personnel ».

Reste que cette mobilisation générale confirme ce que beaucoup soupçonnaient : la domination initiale d’OpenAI dans l’IA générative appartient désormais au passé. La course de fond ne fait que commencer.

Illustration : image générée par l’IA

The post Pourquoi OpenAI décrète l’« alerte rouge » face à Google appeared first on Silicon.fr.

Pour les données sensibles, le SaaS n’est pas admissible, à moins d’apporter ses propres clés de chiffrement.

L’association suisse privatim – qui réunit des autorités de surveillance en matière de protection des données des organes publics – a récemment communiqué cette position. Elle vise plus précisément les solutions de « grands fournisseurs internationaux […], comme […] Microsoft 365 ». Un raisonnement qui tient entre autres à l’existence du CLOUD Act… et aux perspectives d’accès à des données par les autorités américaines sans respect des règles de l’entraide judiciaire internationale.

La plupart des solutions SaaS n’offrent pas encore de véritable chiffrement de bout en bout, fait également remarquer privatim. Qui dénonce aussi une transparence insuffisante des « entreprises opérant à l’échelle mondiale » pour que les autorités suisses puissent vérifier le respect des obligations contractuelles en matière de protection des données. Ce constat, poursuit l’association, vaut autant pour la mise en œuvre de mesures techniques et la gestion des changements, que pour l’engagement et le contrôle des collaborateurs et des sous-traitants.

Microsoft 365 : trois options pour utiliser ses propres clés de chiffrement

Microsoft 365 fournit un chiffrement de base au niveau du volume via BitLocker et DKM (Distributed Key Manager, techno côté client qui utilise un ensemble de clés secrètes). Depuis octobre 2023, c’est de l’AES256-CBC par défaut.

La voie principale pour apporter ses propres clés est l’option Customer Key de Purview. Elle fonctionne avec les licences suivantes :

• Office 365 E5
• Microsoft 365 E5
• Purview Suite (ex-Microsoft 365 E5 Compliance)
• Microsoft 365 E5 Information Protection & Governance
• Microsoft 365 Security and Compliance for FLW

Purview Customer Key s’appuie sur le service Azure Key Vault. Au niveau Standard, les clés – générées dans le coffre-fort ou importées – sont protégées par logiciel. Au niveau Premium, elles sont stockées dans des HSM (modules de sécurité matériels). Il existe une option monolocataire dite Managed HSM.

Autre possibilité : le chiffrement à double clé : une sous le contrôle du client, l’autre stockée dans Azure. Une solution à réserver aux données très sensibles, selon Microsoft. Elle condamne effectivement l’accès à des fonctionnalités comme l’eDiscovery, la recherche et l’indexation, les web apps Office, les règles antimalware/antispam qui exigent une visibilité sur les pièces jointes… et Copilot.

Même avec l’option Customer Key, Microsoft conserve une clé maître (« clé de disponibilité », que le client peut demander à activer en cas de perte de ses propres clés.

Illustration principale © Andrei Kholmov – Shutterstock

The post SaaS et chiffrement : Microsoft 365 ciblé par un appel à la vigilance appeared first on Silicon.fr.

Trois mois après sa création en septembre 2025, Gradium annonce officiellement son lancement avec une levée de fonds de 60 millions € en tour d’amorçage. Un montant rare pour une entreprise aussi jeune mais qui témoigne de l’appétit des investisseurs pour les technologies d’IA vocale de nouvelle génération.

Une technologie fondée sur les modèles de langage audio

L’approche technique de Gradium repose sur les modèles de langage audio, équivalents natifs-audio des large language models (LLM) textuels. Cette architecture, initialement inventée par les fondateurs de l’entreprise, permet de traiter la voix de manière native sans passer par une transcription intermédiaire en texte, contrairement aux systèmes traditionnels qui enchaînent reconnaissance vocale, traitement textuel et synthèse vocale.

Cette approche native offre plusieurs avantages techniques : réduction de la latence, préservation de l’expressivité vocale et capacité à gérer n’importe quelle tâche vocale de manière unifiée. Les modèles de langage audio sont désormais devenus le standard dominant de l’industrie depuis leur invention par les fondateurs.

L’équipe fondatrice réunit quatre chercheurs reconnus dans le domaine de l’IA audio : Neil Zeghidour (CEO, ex-Meta et Google DeepMind), Olivier Teboul (CTO, ex-Google Brain), Laurent Mazaré (Chief Coding Officer, ex-Google DeepMind et Jane Street) et Alexandre Défossez (Chief Scientist Officer, ex-Meta). Leur expertise s’appuie sur plus d’une décennie de recherche fondamentale menée notamment au sein de Kyutai, laboratoire de recherche en IA à but non lucratif dont Neil Zeghidour et Laurent Mazaré étaient deux membres fondateurs.

Cette collaboration avec Kyutai se poursuit et constitue un atout stratégique : elle donne à Gradium un accès privilégié aux avancées de la recherche fondamentale, qu’elle peut ensuite transférer rapidement vers des applications commerciales. La technologie sous-jacente de Gradium sera identique à celle de Moshi, l’IA vocale développée par Kyutai, a précisé Neil Zeghidour à Bloomberg.

Un positionnement « qualité-latence-coût »

Gradium affirme résoudre un compromis technique majeur du secteur : les systèmes vocaux actuels obligent généralement à choisir entre qualité d’interaction, faible latence et coût abordable. La startup vise à proposer simultanément une expressivité vocale réaliste, une transcription précise et une interaction à très faible latence, tout en maintenant des prix permettant un déploiement à grande échelle.

Cette proposition de valeur s’adresse en priorité aux développeurs et aux entreprises via une plateforme API. Le service supporte déjà cinq langues au lancement (anglais, français, allemand, espagnol et portugais), avec d’autres en préparation.

Gradium affirme générer ses premiers revenus quelques semaines seulement après sa création. L’entreprise compte déjà des clients dans plusieurs secteurs : gaming, agents IA, service client, apprentissage des langues et santé.

Le tour de seed de 60 millions d’euros a été co-mené par FirstMark Capital et Eurazeo, avec la participation de DST Global Partners, Eric Schmidt (ancien CEO et Chairman de Google), Xavier Niel (Iliad), Rodolphe Saadé (CMA CGM), Korelya Capital et Amplify Partners.

Ce montant positionne Gradium parmi les levées de seed les plus importantes de l’écosystème français et européen, reflétant les attentes du marché sur le potentiel de l’IA vocale. Selon Neil Zeghidour, le secteur en est encore au stade où se trouvaient les chatbots avant l’émergence des LLM : les systèmes existants restent fragiles, coûteux et limités dans leur capacité à proposer des interactions naturelles.

L’ambition affichée de Gradium est de devenir le socle technologique de référence pour la voix à l’échelle mondiale, en faisant de la voix l’interface principale entre humains et machines.

Photo : Les fondateurs de Gradium. De gauche à droite : Olivier Teboul (Chief Technology Officer), Alexandre Défossez (Chief Scientist Officer), Neil Zeghidour (Chief Executive Officer), Laurent Mazaré (Chief Coding Officer) © DR

The post Gradium lève 60 millions € pour industrialiser l’IA vocale appeared first on Silicon.fr.

Alphabet, maison mère de Google, a retiré sa plainte antitrust déposée auprès de la Commission européenne contre les pratiques cloud de Microsoft, une semaine après l’ouverture par Bruxelles de trois enquêtes de marché sur AWS et Microsoft Azure dans le cadre du Digital Markets Act (DMA).

Désormais, Google affirme vouloir contribuer aux travaux des autorités dans ce cadre plus large, et indique rester engagé dans le dialogue avec les décideurs publics pour faire évoluer les règles de concurrence et les conditions de licences dans le cloud.​

Google avait saisi la Commission européenne en 2024 en accusant Microsoft d’utiliser des conditions de licences logicielles pour enfermer les clients dans sa plateforme Azure. La plainte mettait en avant des pénalités financières, des restrictions d’usage de Windows Server et des obstacles d’interopérabilité pour les entreprises souhaitant exécuter les logiciels Microsoft sur des clouds concurrents ou migrer leurs charges de travail hors d’Azure.​

Ces griefs faisaient écho à des préoccupations déjà exprimées par l’association professionnelle CISPE, soutenue par Amazon, qui avait elle-même déposé puis retiré une plainte contre Microsoft après un accord transactionnel en 2024.​

Enquêtes de l’UE sur le cloud

Les enquêtes ouvertes par la Commission visent à déterminer si AWS et Azure doivent être désignés comme « contrôleurs d’accès » (gatekeepers) pour leurs services cloud, alors même qu’ils ne remplissent pas automatiquement tous les seuils chiffrés prévus par le DMA. Bruxelles veut évaluer si certaines caractéristiques du secteur (effets de verrouillage, coûts de sortie, barrières techniques au multicloud) renforcent le pouvoir de marché de ces hyperscalers au détriment de la concurrence.​

Une troisième enquête examinera si les dispositions actuelles du DMA suffisent à traiter les pratiques susceptibles de limiter la contestabilité et l’équité dans le cloud, ou si des ajustements réglementaires sont nécessaires. La Commission a indiqué que ces travaux s’inscrivent dans un effort plus large pour adapter les outils de concurrence numérique aux spécificités de l’informatique en nuage dans l’UE.​

The post Cloud : Google retire sa plainte antitrust contre Microsoft appeared first on Silicon.fr.

Les grandes entreprises combinent plusieurs clouds pour répartir les workloads, optimiser les coûts, rapprocher les données des utilisateurs et limiter les risques de dépendance à un seul fournisseur. Jusqu’ici, relier ces environnements impliquait soit l’usage d’Internet public sans garanties de bande passante, soit des montages de connectivité privée complexes, longs à déployer et coûteux à exploiter.​

L’alliance entre AWS et Google Cloud combine le nouveau service AWS Interconnect- multicloud et Google Cloud Cross-Cloud Interconnect pour proposer une connectivité privée et automatisée entre les deux environnements. Elle fournit une connectivité entre VPC AWS et VPC/VPC‑SC Google Cloud, intégrée de manière native aux consoles et APIs des deux fournisseurs.​

Google Cloud avait déjà positionné Cross-Cloud Interconnect comme brique clé de son architecture “Cross-Cloud Network”, permettant de relier Google Cloud à AWS, Azure, Oracle Cloud Infrastructure et d’autres MSP via des liens privés à haut débit.

De son côté, AWS a lancé (en préview) AWS Interconnect – multicloud pour proposer des connexions privées depuis AWS vers d’autres fournisseurs de cloud.​

Les deux acteurs mettent en avant une automatisation poussée : les clients peuvent réserver de la capacité dédiée à la demande et établir la connectivité en quelques minutes, sans gérer directement le câblage, les circuits ni l’infrastructure physique sous‑jacente.

L’annonce inclut une spécification ouverte pour l’interopérabilité réseau entre clouds décrite comme un standard commun de connectivité privée qui vise à réduire la complexité de l’adressage, du routage et de la gestion des politiques réseau entre environnements AWS et Google Cloud.​

L’objectif est de permettre à d’autres fournisseurs de cloud d’implémenter le même modèle, afin d’étendre ce socle d’interopérabilité au‑delà du seul duo AWS–Google Cloud. Cette ouverture pourrait favoriser l’émergence d’un écosystème où les clouds majeurs s’alignent sur des standards communs de connectivité privée, à l’image de ce qui existe déjà pour certains protocoles réseau et interfaces de peering.​

Caractéristiques techniques mises en avant

Sur le plan technique, Cross-Cloud Interconnect fournit des liaisons privées avec des capacités de 10 ou 100 Gbit/s dans de nombreux sites mondiaux, gérées par Google côté physique, avec des métriques de performance détaillées (latence, pertes de paquets, temps de trajet aller‑retour).

Les documents techniques de Google décrivent un modèle de double attachement (primaire et redondant) et l’utilisation de BGP pour l’échange de routes entre Google Cloud et AWS, avec des exigences de haute disponibilité.​

AWS Interconnect-multicloud, en préview, est présenté comme un service managé offrant des connexions privées simples, résilientes et à haut débit vers d’autres clouds, intégrées avec les outils réseau et d’observabilité AWS.

L’intégration avec Cross-Cloud Interconnect vise à abstraire la gestion des ports, des circuits et des délais de provisioning, en exposant une expérience de type “cloud‑native” dans les deux consoles.​

Cas d’usage et bénéfices clients

L’alliance cible des scénarios où les données ou applications sont réparties entre AWS et Google Cloud, par exemple pour des plateformes analytiques, des charges IA/ML, ou l’intégration de SaaS opérant sur plusieurs clouds.

Un exemple cité concerne l’intégration de Salesforce Data 360, qui nécessite des ponts privés robustes entre différents environnements pour alimenter des cas d’usage d’IA et d’analytique sur des données réparties.​

Pour les clients, les bénéfices mis en avant sont la réduction du temps de mise en service des liaisons, la simplification opérationnelle (moins de gestion d’infrastructure physique) et de meilleures garanties de performance que l’Internet public. L’approche standardisée doit aussi faciliter la gouvernance réseau et la sécurité dans des environnements multicloud complexes, où les architectures doivent concilier segmentation, conformité et performance de bout en bout.​

Sous le feu des critiques des associations professionnelles et scrutés par les régulateurs, les deux grands CSP américains engagent un mouvement vers un modèle où la connectivité inter‑cloud devient un service managé de première classe, au même titre que le compute ou le stockage, plutôt qu’un assemblage de liens télécoms et de configurations spécifiques.

Reste à observer dans quelle mesure les autres fournisseurs adopteront la spécification proposée et comment les intégrateurs réseau et opérateurs télécoms adapteront leurs offres face à cette montée en puissance de la connectivité multicloud native.​

The post AWS et Google Cloud créent un pont multicloud appeared first on Silicon.fr.

HSBC a signé un accord pluriannuel avec Mistral AI afin d’intégrer des outils d’intelligence artificielle générative dans l’ensemble de la banque.

HSBC déploiera les modèles commerciaux de Mistral ainsi que leurs futures mises à jour sur une infrastructure auto-hébergée. Cette approche permettra de combiner les capacités technologiques internes du groupe bancaire avec l’expertise de Mistral dans la conception de modèles d’IA.

Les deux entreprises collaboreront au développement de solutions d’IA couvrant plusieurs usages : analyse financière, traduction multilingue, évaluation des risques ou encore communications personnalisées avec les clients.

Selon HSBC, ces outils pourraient réduire de manière significative le temps consacré par les employés aux tâches routinières ; par exemple, les équipes crédit et financement pourront analyser plus rapidement des dossiers complexes et volumineux.

HSBC utilise déjà des centaines de cas d’usage d’IA dans le monde, notamment en matière de détection de fraude, de surveillance des transactions, de conformité et de service client. La banque estime que l’accord avec Mistral AI permettra d’accélérer ses cycles d’innovation et de lancer plus rapidement de nouvelles fonctionnalités reposant sur l’IA.

The post HSBC signe avec Mistral AI appeared first on Silicon.fr.

Le rapport intitulé “The State of Generative AI 2025” édité par Palo Alto Networks le montre : les cas d’usage des IA génératives ont explosé en 2024. Le trafic vers ces services s’est accru de 890 % en 2024 et une grande organisation exploite 66 applications d’IA générative en moyenne, dont 10 % peuvent être qualifiées à haut risque.

Qu’il s’agisse de services de traduction, de synthèse de documents, mais aussi de chatbots, moteurs de recherche et outils dédiés aux développeurs, ces IA sont désormais adoptées dans tous les secteurs d’activité.

Sécuriser ces infrastructures présente quelques spécificités. Les IA restent des workloads IT standards avec des conteneurs logiciels qu’il faut protéger, mais les LLM présentent des vulnérabilités intrinsèques à l’apprentissage machine. « Pour les entreprises qui souhaitent réaliser l’entraînement de leurs modèles, il est extrêmement important de sécuriser la chaîne d’alimentation des modèles » explique Pierre Jacob, DG de Magellan Sécurité.

Le consultant estime qu’il est relativement facile d’empoisonner un modèle et introduire des biais importants dans son comportement : « Il ne faut qu’un pourcentage finalement assez faible de données pour faire dérailler un modèle. Il est donc extrêmement important de sécuriser soigneusement les infrastructures d’entraînements. »

La Cyber s’invite dans les infrastructures NVidia

NVidia a pleinement pris conscience des risques pesant sur les IA entraînées et exécutées sur ses infrastructures. Le californien a implémenté des fonctions d’informatique confidentielle sur ses architectures Nvidia Hopper et Blackwell, avec la capacité d’entraîner les IA sur des données chiffrées de bout en bout. De même, les fournisseurs de solution de sécurité sont invités à déployer leurs briques de sécurité sur les infrastructures IA.

Au début de l’été, Crowdstrike annonçait l’intégration de sa plateforme Falcon Cloud Security avec les microservices LLM NIM de NVidia, ainsi qu’à NeMo, sa plateforme de développement d’IA. On retrouve cette même volonté de rapprochement avec Nvidia chez Check Point.

« Nous avons signé un partenariat avec Nvidia pour venir directement dans les GPU qui vont assurer l’apprentissage des moteurs d’IA » explique Adrien Merveille, CTO France de Check Point Software. « Cela va permettre d’appliquer les règles de sécurité à la fois pour segmenter les données d’entraînement, contrôler l’accès par les administrateurs et les manipulations mémoire pour éviter les attaques de type Prompt Injection. »

De même, l’éditeur a intégré à son WAF les protections du Top 10 WASP LLM pour protéger les IA contre les types d’attaques connus. Ce classement référence les 10 types d’attaque les plus fréquents sur les LLM, depuis la Prompt Injection, le Data Poisoning, mais aussi le vol de modèle et les vulnérabilités sur la chaîne d’alimentation en données des modèles en phase d’apprentissage ou en production.

Éric Vedel, CISO de Cisco, rappelle que même des LLM téléchargés sur Hugging Face peuvent avoir été piégés et doivent être vérifiés avant d’être mis en production. Cisco pousse en avant sa solution Cisco AI Defence afin de détecter les vulnérabilités dans les modèles. Celle-ci a été officiellement lancée le 15 janvier 2025, mais elle est issue de l’acquisition de l’éditeur Robust Intelligence quelques mois plus tôt.

« Cette éditeur avait déjà mis en place ses moyens de protection chez de très gros clients pour lutter contre le Shadow AI en accroissant la visibilités sur les usage de l’IA en interne, de la détection des vulnérabilités dans les modèles mis en œuvre et la mise en place de garde-fous et contremesures contre ces risques liés à l’IA. Chose unique sur le marché, nous avons embarqué cette offre au sein de notre offre SSE (Secure Access Security Edge). »
Cette solution s’inscrit dans la mouvance des solutions d’AI SPM apparues pour sécuriser les modèles et les données.

Palo Alto Networks a récemment pris position sur ce marché avec une plateforme complète entièrement dédiée aux IA et couvrir tous les risques recensés par l’OWASP : « Pour couvrir l’ensemble de ces risques, nous avons fait le choix de créer une nouvelle plateforme, Prisma AIRS » explique Eric Antibi, directeur technique de Palo Alto Networks. « Celle-ci amène tout un ensemble de solutions conçues pour la sécurité de ces architectures complexes et des risques spécifiques qui pèsent sur la GenAI. »

La suite intègre un module de Model Scanning pour trouver des vulnérabilités dans les modèles, un module de Posture Management pour identifier tout problème de configuration dans l’architecture. Le module de Red Teaming teste en permanence les modèles pour s’assurer que de nouvelles vulnérabilités ne sont pas apparues à l’occasion de mises à jour, par exemple.

Enfin, des modules assurent la sécurité runtime des IA ainsi que celle des agents intelligents. « Prisma AIRS est une plateforme à part entière, néanmoins, la composante réseau est importante dans la sécurité de ces infrastructures, notamment pour surveiller les échanges entre les datasets et les moteurs de LLM. De ce fait, la console d’administration de notre plateforme Network Security est utilisée, mais cela reste des modules différents. »

Si les solutions d’AI SPM sont encore assez nouvelles et encore peu répandues, les équipes sécurité et IA doivent s’en emparer et commencer à monter en maturité et faire évoluer vers le haut leurs politiques de sécurité vis-à-vis des IA.

---

Pierre Jacob, DG de Magellan Sécurité : «Ne pas s’arc-bouter sur une position unique. » « Il faut adapter ses choix de LLM aux usages et aux risques. Il est possible de déployer un LLM ou un SLM sur un poste de travail si le cas d’usage impose d’être en mode déconnecté. Les machines Apple se prêtent assez bien au déploiement de SLM en local par exemple. De même, il ne faut pas rejeter un LLM parce qu’il est dans le Cloud public. Il faut avoir une vision architecture et penser la sécurité by design et être capable de jongler avec les modèles, mettre en place des architectures applicatives à base de microservices capables de consommer ses modèles sans en être dépendantes. »

The post Une sécurité sur mesure pour les infrastructures IA appeared first on Silicon.fr.