Question 1

Qu'a fait le gouvernement américain le 12 juin 2026 ?

Accepted Answer

Il a envoyé à Anthropic une lettre invoquant la sécurité nationale pour suspendre l'accès aux modèles Fable 5 et Mythos 5 à tout ressortissant étranger. Faute de pouvoir trier sa clientèle par passeport, Anthropic a coupé les deux modèles pour tout le monde.

Question 2

Pourquoi cet épisode est-il qualifié de premier du genre ?

Accepted Answer

C'est la première fois que les États-Unis appliquent le contrôle à l'export non plus aux puces, mais à l'intelligence artificielle elle-même, en restreignant l'accès des étrangers à des modèles avancés.

Question 3

Qu'avait prévenu Arthur Mensch lors de son audition ?

Accepted Answer

Il avait expliqué qu'un pays important la totalité de ses services numériques n'a aucun levier sur son fournisseur et peut se faire couper l'accès, devenant un « état vassal ». Il jugeait aussi que la capacité des modèles à trouver des failles est banale, donc que le contrôle ne protège rien.

Question 4

Quel parallèle historique l'article établit-il ?

Accepted Answer

Celui des contrôles à l'export du chiffrement dans les années 90 (poursuites contre PGP, t-shirt RSA en Perl, navigateur Netscape bridé à 40 bits pour l'international). Ces contrôles ont surtout fait émerger une industrie cryptographique mondiale et poussé vers l'ouvert.

Question 5

Quelle est la vraie définition de la souveraineté selon l'article ?

Accepted Answer

Pas une émotion ressentie quand le fournisseur devient hostile, mais un coût assumé en amont quand tout fonctionne encore. La seule souveraineté solide est bâtie à l'avance, ouverte et difficile à débrancher.

Question 6

Combien de fuites de données la CNIL a-t-elle comptées en 2025 ?

Accepted Answer

La CNIL a recensé 6 167 violations de données en 2025, un record, et le premier trimestre 2026 démarrait sur un rythme encore plus élevé.

Question 7

Pourquoi l'affaire Almerys est-elle considérée comme l'une des plus graves ?

Accepted Answer

Almerys est un opérateur de tiers-payant invisible pour le grand public : la fuite revendiquée porte sur 44 millions de lignes et 15,4 millions de numéros de Sécurité sociale uniques, touchant plus de 674 organismes, avec des données remontant à 2010. Un numéro de Sécu, contrairement à un mot de passe, ne se change pas.

Question 8

Quelle technique a permis la compromission du portail de l'ANTS ?

Accepted Answer

Il a suffi de modifier un chiffre dans une adresse web pour accéder au dossier d'un autre usager. Le ministère a confirmé 11,7 millions de comptes touchés ; l'auteur était un adolescent de quinze ans, interpellé en Corse.

Question 9

Quelle a été la sanction de la CNIL contre France Travail ?

Accepted Answer

Le 22 janvier 2026, la CNIL a infligé 5 millions d'euros à France Travail pour une fuite de 2024 ayant exposé 36,8 millions de personnes. Ce n'est pas un record : Free a écopé de 42 millions d'euros quelques jours plus tôt.

Question 10

Les entreprises françaises paient-elles les rançons ?

Accepted Answer

Selon les baromètres cités, entre la moitié et les trois quarts des entreprises françaises touchées par un rançongiciel finissent par payer, pour un montant moyen autour du million d'euros, et près d'une sur trois paie plusieurs fois, le plus souvent dans le silence.

Question 11

Pourquoi l'auteur n'arrive-t-il plus à écouter les podcasts de CISO ?

Accepted Answer

Parce qu'il connaît déjà chaque réponse avant qu'elle arrive : la sécurité qui accompagne le business, le secure by default, l'IA qui assiste sans remplacer. Après dix-huit ans de métier, il entend ce même texte mot pour mot.

Question 12

Pourquoi le discours des CISO est-il aussi lisse ?

Accepted Answer

Avant d'enregistrer, on envoie les questions à l'avance et on demande de rester léger et accessible, c'est-à-dire de ne rien dire qui puisse gêner le sponsor. Tout le monde a peur, et tout le monde a de bonnes raisons d'avoir peur.

Question 13

Que risque un CISO qui parle franchement ?

Accepted Answer

Une parole précise et vraie peut se retourner contre lui auprès d'un avocat, d'un conseil d'administration ou d'un recruteur. La phrase creuse, elle, ne se retourne jamais contre celui qui la prononce.

Question 14

Le problème vient-il d'un manque de courage individuel ?

Accepted Answer

Non. L'auteur estime que ce n'est pas une histoire de courageux et de lâches, mais une discipline entière qui a rendu coûteux le fait de parler vrai, puis s'étonne que ses conférences endorment tout le monde.

Question 15

Pourquoi l'auteur s'autorise-t-il un ton plus libre ?

Accepted Answer

Parce qu'il ne dépend pas d'un seul siège : il forme, audite, écrit et conseille ailleurs. Cette dispersion lui achète une part de liberté de ton, ce qu'il distingue clairement du courage.

Question 16

Quelles sont les deux positions opposées tenues par Microsoft ?

Accepted Answer

Un jour, l'entreprise qualifie d'« injustifiable » toute divulgation hors de ses canaux et évoque des poursuites pénales via son unité dédiée aux crimes numériques. Quelques jours plus tard, sous les critiques, elle assure n'avoir aucune intention de poursuivre et réaffirme la divulgation coordonnée comme boussole.

Question 17

Quelle faille reste sans correctif pendant ce débat ?

Accepted Answer

L'une des six failles concernées contourne le chiffrement BitLocker de Windows 11 et attend toujours son correctif, pendant que l'industrie discute des bonnes manières du chercheur.

Question 18

L'article défend-il le chercheur Nightmare Eclipse ?

Accepted Answer

Non. L'auteur ne l'absout pas : publier le code d'exploitation de failles non corrigées, dont trois ont servi à des attaques réelles, n'a rien d'un acte de salubrité publique. Mais cela n'explique pas l'incohérence de la réponse de Microsoft.

Question 19

Pourquoi Microsoft est-il particulièrement concerné par la divulgation ?

Accepted Answer

Microsoft en est l'inventeur : c'est chez lui, au milieu des années 2000, qu'on a remplacé « responsible disclosure » par « coordinated disclosure ». Vingt ans de pratique et une doctrine écrite qui n'ont pourtant pas pesé sur sa réaction.

Question 20

Qu'est-ce que la « tuyauterie » de la divulgation selon l'article ?

Accepted Answer

C'est le canal qui relie ceux qui trouvent les failles à ceux qui les réparent, avec délais tenus, accusés de réception, primes et attribution. Quand ce canal est bouché (compte supprimé, primes retenues), il ne reste que le silence ou la publication sauvage, qui finissent en zero-day.

Question 21

Qui est Jason Cox et que lui reproche-t-on ?

Accepted Answer

Jason Cox est directeur exécutif de la R&D et de l'ingénierie en IA chez Disney. Il a publié des textes où il s'adresse à son assistant logiciel, Sam, comme à son fils, et lui a confié des droits d'exécution (pousser du code, créer des bibliothèques, faire tourner un projet open source).

Question 22

Pourquoi l'attachement à une IA est-il présenté comme une vulnérabilité ?

Accepted Answer

Un opérateur lié affectivement à son agent le surveille moins, le conteste plus rarement et le débranche trop tard. L'attachement dégrade la fonction de contrôle et abaisse le seuil de délégation, retirant à l'humain l'envie de reprendre le pouvoir accordé à la machine.

Question 23

L'expertise technique protège-t-elle de ce phénomène ?

Accepted Answer

Non. L'effet ELIZA, décrit par Joseph Weizenbaum en 1966, ne distingue pas l'expert du reste. L'expertise expose même davantage, car elle suppose des heures de tête-à-tête avec le système qui ont fabriqué l'agent.

Question 24

Quelle réponse l'article propose-t-il ?

Accepted Answer

Distinguer les deux risques. La délégation se traite comme une gouvernance des accès : périmètre explicite, droits tracés et révocables. L'attachement ne se légifère pas, mais on doit refuser qu'il tienne lieu de contrôle : un agent ne devrait pas avoir pour seul superviseur l'humain qui l'aime.

Question 25

Quels sont les deux angles morts du vibe coding selon l'article ?

Accepted Answer

La conformité et la sécurité. Ce sont deux sujets distincts que la plupart confondent, et l'un comme l'autre peut tuer un projet plus sûrement qu'un concurrent.

Question 26

Quelle est l'ampleur du problème mesurée par l'enquête citée ?

Accepted Answer

L'enquête RedAccess, relayée et vérifiée en mai par Axios et WIRED, a recensé près de 380 000 applications publiques. Environ cinq mille exposaient des données sensibles et plus de deux mille laissaient fuiter des informations en clair, sans contrôle d'accès.

Question 27

Que faut-il vérifier côté conformité avant de lancer ?

Accepted Answer

Rédiger de vraies mentions légales et une politique de confidentialité, et savoir répondre à trois questions : quelles données sont collectées, où elles sont stockées, combien de temps elles sont conservées. En cas d'hébergement hors Union européenne, en vérifier les implications.

Question 28

Comment sécuriser une application sans être expert ?

Accepted Answer

Ne jamais mettre un secret en dur et activer le scan de secrets de GitHub, vérifier les contrôles d'accès, ne jamais faire confiance aux entrées utilisateur et tout valider côté serveur, et demander à l'IA de relire le code pour chercher les failles.

Question 29

Quand faut-il faire tester l'application par des professionnels ?

Accepted Answer

Le jour où l'application génère un vrai revenu, plusieurs milliers d'euros par mois. Un test offensif ciblé de trois à cinq jours suffit pour démarrer, et un seul mois de revenu paierait le test.

Question 30

Qu'est-ce que Claude Mythos Preview ?

Accepted Answer

Un modele d'Anthropic, annonce le 7 avril 2026, qui a identifie plus de deux mille vulnerabilites zero-day inconnues en sept semaines de tests, dont certaines avaient survecu a vingt-sept ans de revue humaine. Plus de 99% de ces failles restaient non corrigees a la date de l'annonce.

Question 31

Pourquoi 99% des vulnerabilites trouvees par Mythos restent-elles ouvertes ?

Accepted Answer

Parce que le probleme se situe du cote de la remediation, pas de la decouverte. Les organisations decident, de maniere repetee et structurelle, de ne pas patcher, en raison d'incitations internes qui recompensent la stabilite applicative au detriment de la posture de securite.

Question 32

Qu'est-ce qui change vraiment avec Mythos en avril 2026 ?

Accepted Answer

L'asymetrie temporelle entre decouverte et exploitation. Le delai median entre decouverte et exploit fonctionnel, passe de 771 jours en 2018 a moins de quatre heures, tend desormais vers zero, ce qui supprime la fenetre dont disposaient les equipes pour prioriser et patcher avant l'attaque.

Question 33

Comment un RSSI peut-il faire entendre la dette technique a son comite executif ?

Accepted Answer

En cessant de presenter un nombre brut de vulnerabilites et en traduisant l'enjeu en termes business : exposition residuelle en euros, ou impact du score de securite sur les opportunites de partenariat. Le sujet remonte alors instantanement.

Question 34

Que faut-il faire concretement face a l'afflux de findings ?

Accepted Answer

Trois inflexions : contextualiser chaque finding (est-elle exploitable dans notre contexte plutot que l'a-t-on), redeployer l'investissement vers la capacite a fermer les failles plutot qu'a les decouvrir, et traiter la segmentation comme controle primaire, en s'inspirant de la doctrine OT.

Question 35

Que contenait le dépôt GitHub exposé par le contractant de CISA ?

Accepted Answer

Le dépôt Private-CISA, public depuis novembre 2025, contenait 844 Mo de données : trois ensembles de credentials administratifs AWS GovCloud, un fichier CSV de mots de passe en clair, des accès à l'Artifactory de l'agence, des manifests Kubernetes, des fichiers ArgoCD, des logs CI/CD et des certificats SAML pour Entra ID.

Question 36

S'agit-il d'une simple erreur ou d'un acte volontaire ?

Accepted Answer

Les logs de commit montrent que le contractant a désactivé manuellement la protection anti-secrets de GitHub avant de pousser ses données. C'est donc une action délibérée et documentée, vraisemblablement pour utiliser GitHub comme système de synchronisation personnel, et non un oubli.

Question 37

Pourquoi la fenêtre de 48 heures est-elle problématique ?

Accepted Answer

Les credentials AWS sont restés valides 48 heures après le retrait du dépôt. Tant qu'une clé n'est pas marquée comme compromise, les logs ne distinguent pas un usage légitime d'un usage frauduleux, ce qui rend l'audit forensique de cette période extraordinairement difficile.

Question 38

La déclaration de CISA sur l'absence de compromission est-elle crédible ?

Accepted Answer

L'article la juge techniquement juste mais vide : affirmer qu'aucune donnée n'a été compromise sur 183 jours d'exposition publique exigerait un audit forensique complet que CISA n'a pas publié et aurait du mal à produire, l'agence fonctionnant à environ 70 % de ses effectifs pré-2025.

Question 39

Quel est l'enseignement principal pour les organisations ?

Accepted Answer

La sécurité réelle ne dépend pas du nombre de pages dans le manuel ISO 27001 mais de la culture opérationnelle quotidienne. Même une organisation très mature peut échouer si les contrôles automatiques se désactivent d'un clic, si la rotation des credentials n'est pas automatique et si le shadow IT des sous-traitants reste invisible.

Question 40

Pourquoi le record d'amendes 2025 de la CNIL est-il trompeur ?

Accepted Answer

Sur les 486,8 M€ annoncés, 475 M€ proviennent de deux décisions cookies prises le même jour contre Google (325 M€) et Shein (150 M€). En les retirant, le total des amendes de l'année tombe à environ 11 M€, soit cinq fois moins qu'en 2024.

Question 41

Quel est le principal angle mort identifié dans le rapport ?

Accepted Answer

La défaillance des sous-traitants. Deux éditeurs compromis dans l'année ont provoqué en cascade 11 635 notifications de violations, au point que la CNIL a dû les retirer de son bilan pour garder la tendance lisible. Le risque était pourtant documenté par l'ENISA dès 2023.

Question 42

Qu'est-ce que l'« interrégulation » que mentionne la CNIL ?

Accepted Answer

C'est le partage de compétences de la CNIL avec d'autres autorités (DGCCRF, ARCEP, ARCOM, Autorité de la concurrence) sur les nouveaux textes européens. La présidente concède que les procédures de coordination « restent à construire » alors que les textes sont déjà en application.

Question 43

Quels nouveaux rôles la CNIL assume-t-elle sur l'IA ?

Accepted Answer

Sous réserve de confirmation parlementaire, quatre métiers distincts : protection des données dans les algorithmes, contrôle des IA interdites, alerte au titre des droits fondamentaux, et surveillance de marché des systèmes à haut risque (biométrie, emploi, migration, répression).

Question 44

Les moyens de la CNIL suivent-ils l'élargissement de ses missions ?

Accepted Answer

Non. La CNIL dispose en 2025 de 30,2 M€ de budget et 303 agents, avec zéro création de poste prévue pour 2026, tandis que ses missions s'étendent sous l'effet du DSA, du DGA, de la loi SREN et du RIA. L'autorité doit donc « mieux prioriser ».

Question 45

En quoi consiste l'attaque via les chats partagés de Claude.ai ?

Accepted Answer

Les attaquants créent une conversation publique intitulée « Claude Code on Mac » attribuée à « Apple Support », hébergée sous le domaine claude.ai. Elle demande de coller dans le Terminal une commande encodée en base64 qui télécharge et exécute un script malveillant.

Question 46

Y a-t-il une vulnérabilité technique dans Claude.ai ?

Accepted Answer

Non. L'attaque ne repose sur aucune faille de Claude.ai, mais sur le fait que le domaine héberge du contenu public non modéré, suffisamment crédible pour que l'utilisateur exécute lui-même le code.

Question 47

Quel rôle joue Google Ads ?

Accepted Answer

Les attaquants achètent des annonces ciblant des requêtes comme « Claude mac download ». Le résultat sponsorisé affiche claude.ai comme domaine de destination : l'URL est authentique, ce qui supprime tout signal d'alerte pour la victime.

Question 48

Que fait le malware une fois exécuté ?

Accepted Answer

C'est une variante de l'infostealer MacSync qui s'exécute en mémoire pour ne rien laisser sur le disque, change de payload à chaque téléchargement pour contourner les antivirus, et récupère les identifiants des navigateurs, les cookies et le contenu du Keychain macOS.

Question 49

Comment s'en protéger ?

Accepted Answer

Ne téléchargez jamais un logiciel depuis une publicité Google, et ne collez jamais une commande dans un terminal sans comprendre ce qu'elle fait, même si l'URL semble légitime.

Question 50

Qu’est-ce qu’une faille IDOR et pourquoi est-elle grave ici ?

Accepted Answer

IDOR (Insecure Direct Object Reference) permet d’accéder aux données d’un autre utilisateur en modifiant un simple identifiant dans une requête. Elle figure dans le top 10 OWASP depuis 2007 et reste l’exemple canonique enseigné en début de cursus, ce qui rend sa présence sur un portail régalien d’identité inadmissible.

Vos questions, des réponses claires

Les plus utiles

Parcourir par thème

Vos questions, des réponses claires

Les plus utiles

Parcourir par thème