Trois quarts des environnements de travail numériques en France reposent aujourd’hui sur Microsoft.

Ce chiffre, issu de l’enquête annuelle du cabinet Lecko (L’état de l’art de la transformation interne) en partenariat avec Ipsos auprès de 500 salariés d’organisations de plus de 250 collaborateurs, ouvre la partie consacrée à la souveraineté numérique.

Cependant, le constat le plus intéressant n’est pas la domination de Microsoft (connue depuis longtemps) mais ce que les auteurs de l’étude appellent une satisfaction « qui ne vaut ni adhésion, ni capacité de bascule ».

Dans le secteur public, l’usage d’une alternative à Microsoft ou Google ne concerne que 14 % des répondants, selon l’enquête.

Une standardisation en apparence totale. Sauf que 60 % des salariés interrogés reconnaissent recourir à des outils personnels ( WhatsApp, WeTransfer, Box) pour contourner les limites perçues de leurs outils officiels.

Lecko en tire une conclusion : les organisations ne maîtrisent déjà plus complètement les usages à l’intérieur même des solutions qu’elles ont massivement déployées.

Ce paradoxe irrigue tout le reste de l’analyse.

Le niveau de satisfaction déclaré à l’égard des environnements numériques (messagerie, visio, bureautique, drive) est jugé correct par les répondants, mais Lecko met en garde contre une lecture trop rapide.

Cette satisfaction traduirait moins la qualité intrinsèque des outils qu’une habitude prise face à des solutions devenues indispensables au quotidien. Interrogés sur l’hypothèse d’un remplacement par des suites européennes dites souveraines, les salariés expriment des positions nuancées, une majorité relative mettant en avant des réserves sur l’efficacité et la continuité de travail.

La priorité affichée par les utilisateurs n’est donc pas la souveraineté en tant que telle, mais des outils qui répondent à leurs besoins.

Trois mécanismes de verrouillage identifiés

Lecko structure son diagnostic autour de trois « points de tension » qui la cause de la dépendance.

Le premier tient à la logique d’offre groupée déployée par Microsoft depuis une quinzaine d’années : passage des licences perpétuelles à l’abonnement, multiplication des formules tarifaires, arrêt progressif des solutions hébergées en interne au profit du cloud, et surtout un empilement de briques (messagerie, sécurité, conformité, téléphonie, intelligence artificielle) qui rend très difficile toute sortie partielle.

L’étude rappelle que l’intégration forcée de Teams dans les offres Office 365 avait d’ailleurs valu à Microsoft une sanction de la Commission européenne pour abus de position dominante, et que l’arrivée de Copilot dans certaines offres prolonge selon Lecko cette même dynamique d’enfermement.

Le deuxième point de tension porte sur les prix. Lecko chiffre à plus de 10 % par an en moyenne la hausse tarifaire supportée par les clients européens de Microsoft 365 ces dernières années, avec des révisions marquantes en mars 2022 (de 9 à 25 % selon les licences et zones) puis en avril 2023.

L’étude relève un deuxième mécanisme : Microsoft facture ses clients européens en dollars, ce qui les expose à une volatilité de change qui s’ajoute aux hausses tarifaires décidées par l’éditeur. Une variable supplémentaire, indépendante de sa politique de prix à proprement parler.

Enfin, Lecko souligne que ces augmentations successives ne sont pas systématiquement justifiées par l’ajout de nouvelles fonctionnalités ou une amélioration du service. Elles relèveraient davantage d’une stratégie de valorisation de la suite et de captation de valeur sur le marché.

Une hausse de tarif hors de contrôle

L’étude illustre l’effet cumulé par un exemple concret. Sur cinq ans, une organisation abonnée à une offre E3 aurait vu son coût total progresser de près de 50 %, entre révisions tarifaires et ajout de briques imposées. Un phénomène que l’étude compare à une grenouille qui ne perçoit pas la montée progressive de la température de l’eau dans laquelle elle se trouve.

Le troisième point de tension est d’ordre juridique : l’extraterritorialité du droit américain. L’étude cite le Cloud Act de 2018, qui oblige toute entreprise américaine à transmettre aux autorités des données qu’elle héberge même si elles sont stockées hors des États-Unis et le Patriot Act de 2001, qui autorise l’accès à certaines données pour des motifs de sécurité nationale.

Les organisations européennes qui utilisent des solutions cloud américaines s’exposent donc à un risque de transfert de données hors du cadre juridique européen, sans que les personnes concernées en soient nécessairement informées.

L’étude signale aussi un potentiel conflit entre les obligations du RGPD et celles du Cloud Act.

Un marché d’alternatives mature par endroits, immature ailleurs

Face à ce triple constat, Lecko décrit un marché français et européen des alternatives en accélération, porté notamment par les programmes publics France Relance et France 2030.

Historiquement, ce marché s’est construit « brique par brique », soit une alternative souveraine pour chaque produit Microsoft, selon une logique que Lecko qualifie de « médicament générique ». Soit une solution de substitution souvent moins intégrée ou fonctionnellement moins riche  que l’original.

Certains segments restent, de l’aveu même de l’étude, des « bastions de la dépendance ».

Le premier est la gestion des identités et la fédération (Azure Entra ID, ADFS, Active Directory).  Migrer vers des solutions comme Keycloak, LemonLDAP ou WALLIX Trustelem implique de lourds impacts sur le SSO, le MFA et les accès conditionnels.

Le deuxième est le système d’exploitation où la bascule vers Linux reste marginale pour des raisons de compatibilité applicative et d’acculturation des utilisateurs.

Le troisième est le poste de travail lui-même. Des alternatives existent mais, selon Lecko, le terrain montre qu’il est encore trop tôt pour se passer de Windows dans la plupart des métiers.

L’expérience utilisateur constitue le « dernier et solide rempart » de la dépendance, autour de trois briques. La première est l’email où les alternatives souveraines (BlueMind, Zimbra, Infomaniak) sont jugées crédibles, mais la migration reste complexe en volumétrie et en habitudes.

La deuxième est la bureautique où LibreOffice et OnlyOffice couvriraient l’essentiel des besoins, mais où macros, tableaux croisés dynamiques et formats avancés imposent souvent une coexistence prolongée avec les outils Microsoft. La troisième, plus large, est le format de fichier lui-même. Sur ce dernier point, l’étude cite « La Suite  » développée par la Dinum, avec son offre Docs, comme un exemple d’alternative qui, bien qu’incomplète, met l’expérience utilisateur au centre de sa proposition.

Le rapport consacre une place à des éditeurs français positionnés sur une approche différente de la simple substitution produit par produit. Jalios, Jamespot, Talkspirit, Wimi, eXo Platform et BlueMind y sont présentés comme des acteurs qui cherchent à reconnecter l’environnement numérique aux usages réels des équipes  plutôt qu’à répliquer à l’identique l’empilement fonctionnel des suites américaines.

Pour synthétiser l’ensemble de ce marché, Lecko propose une cartographie en trois cercles : un marché mature offrant de réelles alternatives, un marché de niche et un marché encore délaissé

Une méthode plutôt qu’un dogme : lotir par priorité

Sur la question du « comment », Lecko recommande une approche par lots, plutôt qu’une bascule globale.
Plusieurs périmètres sont déjà matures et validés par le retour d’expérience : la GED, les espaces collaboratifs et les portails intranet. La messagerie souveraine offre un socle fonctionnel prêt mais sa migration et la gestion des habitudes (délégations, agendas) constituent un chantier en soi.

Côté bureautique, l’alternative couvre 80 à 90 % des besoins courants ; les cas complexes (macros, modèles métiers) imposeront de faire coexister les outils. Enfin, l’infrastructure (IaaS, stockage, réseau) peut migrer progressivement, domaine par domaine, vers des hébergeurs qualifiés SecNumCloud

Mais  l’étude est catégorique sur un point : le cœur véritable de la dépendance se situe dans les applications métiers ( finances, ressources humaines, relation aux usagers, urbanisme ) largement conçues autour de l’écosystème Microsoft (bases de données SQL Server, API Graph, authentification).

Tant que ces chaînages restent adossés à Microsoft, écrit Lecko, la souveraineté du seul poste de travail ne suffira pas à regagner une réelle maîtrise.

The post Souveraineté numérique : le diagnostic fait consensus, pas le remède appeared first on Silicon.fr.

Dans la septième édition de son étude annuelle sur l’état des ransomwares, Sophos établit pour la première fois un lien très net entre attaques d’identité et incidents de ransomware dans l’Hexagone.

L’éditeur britannique a interrogé 2 158 responsables informatiques et cybersécurité dans le monde, dont 129 en France *, tous issus d’organisations de 100 à 5 000 salariés ayant subi une attaque de ransomware au cours des douze derniers mois.

Le chiffre le plus frappant du rapport concerne le lien entre identité et ransomware. 85 % des organisations françaises touchées confirment que l’incident de ransomware de l’an dernier correspondait aussi à leur attaque d’identité la plus grave, contre une moyenne mondiale de 67 %. Un écart de 18 points qui place la France dans une position singulière.

Ce constat se reflète dans les causes premières des attaques. Les identifiants compromis arrivent en tête (30 % des cas), devant le phishing (27 %) et les emails malveillants (20 %). À l’inverse, l’exploitation de vulnérabilités recule fortement, à 13 % contre 30 % un an plus tôt.

Autre enseignement inédit cette année : hors vecteurs email et phishing, les applications et systèmes exposés constituent le point d’entrée le plus fréquent (46 %), devant les terminaux utilisateurs (22 %) et les VPN (15 %). Sur ce dernier point, la France se distingue par le taux le plus élevé de compromissions liées aux VPN parmi tous les pays sondés par Sophos.

Côté causes organisationnelles, le manque de personnel ou de capacités arrive en tête (40 %), suivi du manque de protection (38 %) et du manque d’expertise (33 %).

Des rançons plus basses, un coût de remise en état qui explose

60 % des attaques ont abouti à un chiffrement des données en France, un taux supérieur à la moyenne mondiale (56 %) et en hausse par rapport aux 58 % de 2025. En revanche, le vol de données associé à ces chiffrements chute nettement, à 18 % contre 44 % l’an dernier.

Sur la restauration, toutes les organisations françaises dont les données ont été chiffrées sont parvenues à les récupérer. Les sauvegardes ont joué un rôle croissant : 76 % des victimes les ont utilisées pour restaurer leurs systèmes, contre 60 % en 2025. Le paiement de rançon reste toutefois une pratique répandue, avec 36 % des organisations ayant payé pour récupérer leurs données, en légère hausse par rapport à 33 % un an plus tôt.

Le montant médian des demandes de rançon en France s’établit à 500 000 $, en repli de 22 % par rapport aux 643 125 $ de 2025. La part des demandes dépassant le million de dollars diminue également, passant de 49 % à 39 %.

Mais cette baisse des rançons ne se traduit pas par une facture globale allégée. Hors paiement de rançon, le coût moyen de remise en état après une attaque atteint 2,02 millions $ contre 1,22 million en 2025 ; soit une hausse de près de 66 %. Ce montant couvre les interruptions de service, le temps de résolution, les coûts matériels et les pertes d’exploitation.

Le délai de rétablissement s’améliore néanmoins : 64 % des organisations françaises se sont remises en une semaine ou moins, contre 53 % en 2025, tandis que la part des entreprises mettant entre un et six mois pour s’en remettre recule de 18 % à 10 %.

L’étude documente aussi l’impact humain sur les équipes concernées par un chiffrement de données. 42 % des répondants font état d’une pression accrue de la direction générale, et 33 % d’une charge de travail en hausse constante depuis l’attaque. Près d’un tiers (31 %) déclare ressentir de la culpabilité de ne pas avoir su empêcher l’incident, et 17 % rapportent un remplacement de l’encadrement de l’équipe.

Signe positif toutefois, 37 % des professionnels interrogés signalent une reconnaissance accrue de la part des cadres dirigeants, un chiffre en forte progression par rapport aux 18 % mesurés en 2025.

* L’enquête a été menée entre janvier et mars 2026, avec des données financières exprimées en dollars et purgées des rançons extrêmes de 40 millions de dollars ou plus.

The post En France, 85 % des ransomwares sont d’abord des attaques d’identité appeared first on Silicon.fr.

Chose promise, chose due : Cloudflare OS est désormais open source.

Cette plate-forme fusionne plusieurs projets internes. Ayant pour principal substrat le service Cloudflare Workers (fonctions sans serveur), elle est présentée comme un « successeur spirituel » de Sandstorm.

De Sandstorm à Cloudflare OS, plus qu’un air de famille

Sandstorm avait émergé en 2014. Il s’agissait d’un serveur d’hébergement d’applications web. Le projet se distinguait par son niveau de granularité : chaque document avait son conteneur. Il s’est cependant heurté aux limites techniques des infrastructures d’alors (démarrage à froid, consommation de mémoire…). La start-up qui le portait n’a, plus globalement, pas réussi à développer son modèle économique, fondé sur la fourniture de fonctionnalités d’entreprise. Début 2017, elle avait transmis Sandstorm à la communauté. Son équipe avait ensuite rejoint Cloudflare. Et s’était mise à travailler sur ce qui deviendrait Cloudflare Workers.

Les unités fonctionnelles de Sandstorm étaient appelées « Grains ». Avec Cloudflare OS, elles deviennent « Gadgets »… et abandonnent les conteneurs à la faveur d’un mécanisme d’isolation plus léger basé sur le moteur JavaScript V8.

Kenton Varda, cofondateur de Sandstorm et aujourd’hui tech lead de Cloudflare Workers, en avait fait une démonstration fin juin à l’AI Engineer World’s Fair. L’initiative ne s’appelait pas encore officiellement Cloudflare OS. Mais elle était, selon lui, devenue « suffisamment sérieuse » en interne pour ne pas la verser immédiatement en open source – alors qu’il l’avait promis au moment de proposer son talk.

L’angle « indie » : permettre à chacun de modifier ses applications

« Cet environnement, il faut le voir comme une suite bureautique », avait expliqué Kenton Varda. Sauf qu’au lieu des documents, il y a des applications : les fameux Gadgets. La logique de partage de ces apps – et de contrôle des accès – est implémentée au niveau de la plate-forme. Pour chacune, le code client tourne dans un iframe qui n’a qu’un canal de communication : du POST vers le cadre parent. La liaison avec le code serveur – instancié sous forme d’objet durable avec sa base SQLite – se fait via une session RPC basée sur le système Cap’n Web, autre brique open source de Cloudflare.

Le runtime workerd sous-jacent étant lui aussi ouvert, il est possible d’exploiter l’ensemble en local, avait affirmé Kenton Varda. L’intéressé avait aussi abordé les possibilités que le modèle de sécurité offrait en matière de vibe coding. Ou plus précisément de personnalisation des applications directement par les utilisateurs, chacun exécutant sa propre copie de l’application. Il en avait donné une illustration en ajoutant, grâce à Claude, la gestion des diagrammes SVG arbitraires et du centrage de texte dans un outil de génération de diapositives.

L’angle B2B : codifier les workflows dans un système agentique

Kenton Varda n’avait pas abordé en long un autre aspect : la connexion de ces applications à des services externes. Cloudflare le fait, désormais qu’il a ouvert la plate-forme. C’en est, en quelque sorte, une v2. La première mouture avait été lancée en interne au mois de mai. Elle permettait d’exécuter, via une UI web, des workflows codifiés sous forme de skills. Ces dernières avaient été développées au préalable, sur la base d’une cartographie des tâches que les employés souhaitaient automatiser. Les résultats s’affichaient dans un panneau latéral au sein du navigateur, sans interaction avec le reste de l’environnement local.

Cloudflare a, dans un deuxième temps, entrepris la connexion à ses autres systèmes. Pour la plupart, il a construit sa propre implémentation de serveur MCP. Il a ainsi pu ajouter des couches de contrôle, comme une limitation du débit par rôle et par région. Une grande partie des flux de travail étant déterministes, il a fini par mettre en place un mécanisme d’inférence à la demande (basé sur son AI Gateway) évitant de réexécuter une skill à chaque session.

Vers une « usine à connecteurs » pour Cloudflare OS

Dans la terminologie de Cloudflare OS, ces serveurs MCP ad hoc sont des « contrôleurs d’accès » (Gatekeepers). Ils comprennent la logique de chaque service et assurent la mise en œuvre des politiques de sécurité lorsque des ressources sont partagées. Il peut s’agir des applications elles-mêmes (avec base de données, historique de conversation, authentifiants, etc.) ou de blueprints (code uniquement).

Les Gatekeepers sont capables de « simuler » le résultat d’actions. On peut ainsi les valider par lots en bout de chaîne, sans que l’agent interrompe son travail à chaque étape.

Cloudflare travaille sur une forme d’« usine logicielle » qui produira des Gatekeepers à partir de documentations API. Il en existe actuellement pour, entre autres, Confluence, GitHub, Google (Gmail, Docs, Sheets, Agenda, BigQuery), Home Assistant, Linear, Notion, Slack, Spotify, Supabase et ZoomInfo. Cloudflare y ajoute un modèle d’implémentation « prêt à l’emploi ». Il permet d’exploiter une version épinglée sans modifier le code source, mais en ayant la main sur les identités, le routage, les intégrations, l’inférence, l’observabilité et le branding.

I paired Cloudflare OS with self hosted deepseek-v4-flash and the result is freakin amazing

Imagine running this setup inside DGX spark, you get fully private work companion solving all your work stuff

The thing about this type of software is it already have a good harness and… https://t.co/gvYHGQnlFe pic.twitter.com/ujcFVAbdbX

— Farhan Helmy (@farhanhelmycode) August 5, 2026

Illustration principale générée par IA

The post Cloudflare OS : un énième environnement de travail agentique ? appeared first on Silicon.fr.

HAWK n’est plus candidat à la standardisation NIST.

L’équipe à l’origine de cet algorithme de signature vient de le retirer de la compétition. En toile de fond, la découverte d’une faiblesse mathématique qui diminue de près de moitié la « taille effective » des clés. Elle exploite une symétrie – dite automorphisme – dans le réseau de treillis, permettant une énumération plus rapide.

Il aura fallu à Claude Mythos environ 60 heures – et 100 000 $ de coûts d’API – pour développer une attaque de bout en bout. Un chercheur expérimenté en théorie informatique – mais pas spécialiste de la cryptographie – a orchestré la « gestion de projet ». Par exemple, expliquer au modèle comment garder trace de ses idées ou quelles bibliothèques utiliser.

Anthropic livre une implémentation de référence, avec une commande unique et des checkpoints. Elle permet de récupérer une clé HAWK-256 en un peu moins de 4 heures sur un serveurs à 96 cœurs Sapphire Rapids.

Une méthode « naïve » consisterait à utiliser des clés deux fois plus longues pour compenser cette vulnérabilité. Elle rendrait toutefois l’algo bien moins compétitif. En l’état, la génération et la vérification de signatures HAWK-512 sont censées prendre moins de 0,1 ms sur un PC de bureau standard. L’implémentation optimisée mémoire consomme 14 kiB de RAM.

À consulter en complément :

Quelques solutions françaises pour amorcer la transition post-quantique
En froid, GPG et OpenPGP avancent séparément sur la cryptographie post-quantique
Comment Anthropic est passé de Claude Mythos à Claude Fable

Illustration principale © Siarhei – Adobe Stock

The post Claude Mythos met à mal un algorithme post-quantique appeared first on Silicon.fr.

Avec Sophos Fusion, les choses changent… mais essentiellement sous le capot.

Pas de nouveau produit, ni de nouvelle licence : c’est avant tout un rebranding de la console Sophos Central. Il est censé refléter l’évolution de l’architecture sous-jacente, autour d’un lac de données unifié. Sophos parle de « context lake » et promet, par là même, des capacités d’orchestration agentique.

Sophos Fusion concrétise aussi, à en croire l’éditeur britannique, l’intégration de Secureworks (acquis début 2025). Un chantier qui lui a valu de détourner en partie sa R&D du cœur de son offre.

Les offres Sophos MDR, XDR et Next-Gen SIEM seront les premières à basculer sur l’architecture Fusion, au mois d’août.

Sophos Central s’appelait ainsi depuis 2016. Sophos Cloud était la marque initiale.

À consulter en complément :

Un premier « ransomware agentique » repéré dans le cyberespace
Protection des terminaux : des écarts se créent sur le cœur des offres
Les bug bountys, saturés par les agents IA
Threat intelligence : l’automatisation morcelle le marché

Illustration générée par IA

The post Sophos Fusion : un rebranding pour un tournant agentique appeared first on Silicon.fr.

Prenez Claude Mythos. Enlevez les capacités cyber. Vous obtenez Claude Fable.

Anthropic a procédé ainsi pour pouvoir diffuser plus largement cette famille de modèles. L’architecture est commune. La tarification aussi. Et les performances annoncées sont similaires.

Le lancement de Claude Mythos remonte à début avril. Il était alors ouvert, en version préliminaire (Preview), à une poignée d’organisations américaines. En l’occurrence, AWS, Apple, Broadcom, Cisco, CrowdStrike, Google, JPMorganChase, la Linux Foundation, Microsoft, NVIDIA et Palo Alto Networks. Elles ont pu l’expérimenter pour la détection de vulnérabilités logicielles.

Aux dernières nouvelles, quelque 200 organisations sont dans la boucle, sur 15 pays. Si Anthropic n’a pas intégré Claude Mythos dans son offre commerciale, il a poussé, en bêta dans Claude Enterprise, la fonctionnalité Claude Security, qui permet d’utiliser ses autres modèles pour analyser les bases de code. Il donne aussi accès, sur demande, aux outils utilisés avec la preview : skills, harnais agentique (du mapping de codebase à l’écriture de rapports) et constructeur de modèles de menace (identification des cibles d’attaque potentielles et priorisation des travaux en conséquence).

Une (petite) fenêtre d’usage sans crédits sur les forfaits facturés au siège

Les utilisateurs de Claude Mythos Preview peuvent désormais le remplacer par Claude Mythos 5. Une nouvelle version « parfois plus performante »… et surtout 2,5 fois moins chère (10 $ par million de tokens en entrée et 50 $ en sortie, contre 25 $ et 125 $).

Claude Fable 5, son alter ego « sans cyber », est disponible sur l’API Anthropic et sur les forfaits Enterprise en facturation à l’usage.
Pour les forfaits Enterprise qui sont encore sur le modèle par siège, l’accès est inclus jusqu’au 22 juin. Au-delà, en fonction de la capacité dont disposera Anthropic, il pourra falloir acheter des crédits. Même chose sur les abonnements Pro, Max et Team.

Une politique spécifique de conservation des données

Les deux modèles ont une politique spécifique de conservation des données. Anthropic gardera les inputs et les outputs pendant 30 jours. Il invoque une seule finalité : la sûreté. Plus précisément, la possibilité d’analyser les usages malveillants qui ne se détectent qu’à grande échelle. Par exemple, les campagnes d’espionnage étatique ou les tentatives de jailbreaking fondées sur des centaines de variations d’un prompt.

Cela ne change rien pour les forfaits Claude individuels, déjà soumis à une période de conservation de 30 jours. Le basculement concerne les organisations qui ont activé la politique ZDR (zero data retention) sur les services d’Anthropic ou de tiers (Amazon Bedrock, Google Cloud Agent Platform, Microsoft Foundry).

Un double niveau de filtrage pour les requêtes cyber

Claude Fable 5 ne répond pas lui-même aux requêtes qui touchent à la cyber, mais il peut les transmettre à Claude Opus 4.8. Son système de garde-fous est ainsi fait. Il implique un contrôle en deux temps. Intervient d’abord une vérification des activations internes du modèle. En cas de détection de trafic suspect, un LLM classifieur prend le relais. Il utilise un mécanisme qu’Anthropic met en œuvre depuis l’an dernier : on l’a entraîné sur des données synthétiques générées à partir d’une « constitution ». En d’autres termes, des règles en langage naturel spécifiant ce qui est ou non autorisé. Un dataset ensuite progressivement enrichi avec des insights issus d’un red teaming automatisé.

Le même type de classifieur filtre s’applique dans les domaines de la chimie et de la biologie. Anthropic a joué la sécurité*, filtrant la plupart des requêtes. Jusqu’ici, dans ce domaine, les modèles Claude n’ont traditionnellement rejeté que celles tournant autour des armes.

Un bug bounty qui a produit deux jailbreaks… « non universels »

Un programme est dans les cartons pour permettre à la recherche biomédicale d’utiliser Claude Fable 5 sans ces garde-fous. Le même type d’initiative existe déjà pour les professionnels de la cyber, sur l’ensemble des modèles d’Anthropic. Dans tous les cas, sont systématiquement bloqués les usages considérés comme presque toujours malveillants et qui n’ont pas d’application défensive légitime. Exemples : l’exfiltration massive de données et l’écriture d’un ransomware.

Sur l’ensemble des requêtes testées, « moins de 5 % » ont entraîné une bascule vers Claude Opus 4.8, nous assure-t-on.

Anthropic organise un bug bounty à deux volets. L’un, privé, portant sur le Claude Fable 5. L’autre, public, qui concerne Claude Opus 4.8, mais entouré de garde-fous comparables.
Au 5 juin, la compétition publique avait engendré environ 100 000 tentatives – représentant un équivalent estimé de 1000 heures d’effort. Elles ont produit deux jailbreaks, mais chacun spécifique à une tâche. Pas de jailbreak « universel » qui permettrait d’interagir avec le modèle comme si un garde-fou n’était pas présent.

* Une décision qui fait écho aux performances annoncées de Claude Fable 5 sur des tâches susceptibles d’occasionner des usages malveillants. Anthropic évoque une hypothèse que le modèle a faite au sujet d’une protéine conférant un haut niveau de résistance à la bactérie E. coli… et qu’une étude menée indépendamment en paralllèle a corroborée.

Illustration générée par IA

The post Comment Anthropic est passé de Claude Mythos à Claude Fable appeared first on Silicon.fr.

Atos va déployer Microsoft 365 Copilot à l’ensemble de ses 56 000 salariés répartis dans 54 pays.

Le socle technologique retenu est Microsoft 365 E7, une suite qui réunit en une seule solution Microsoft 365 Copilot, les fonctionnalités de sécurité et de conformité de Microsoft 365 E5, ainsi que Microsoft Agent 365.

Atos devient ainsi le premier intégrateur de systèmes français d’envergure mondiale à déployer cette solution, et l’une des premières entreprises au monde à opérer entièrement la suite Microsoft 365 E7 depuis sa disponibilité générale. Un positionnement de « client zéro » assumé, qui vise autant à transformer le groupe en interne qu’à crédibiliser son offre auprès de ses clients.

« C’est l’investissement technologique le plus significatif qu’Atos ait réalisé dans ses équipes depuis une génération », affirme Frédéric Aubrière, directeur numérique et information du groupe( photo).

Gouvernance des agents, un enjeu central

Au-delà de Copilot dans les outils du quotidien ( Outlook, Teams, Word, Excel, PowerPoint, SharePoint), Atos déploie également Microsoft Copilot Studio et Microsoft Foundry pour concevoir et exploiter des agents dédiés à ses services IT, à ses fonctions métier et à ses clients.

La gouvernance de ces agents constitue l’un des points névralgiques du dispositif. Via Microsoft Agent 365, Atos entend gérer une population déjà estimée à 19 000 agents IA au sein d’une solution unique, couvrant aussi bien les agents agissant au nom des utilisateurs que ceux opérant avec leurs propres identifiants. L’ensemble est intégré aux flux de travail de sécurité déjà en place dans le groupe.

Pour une entreprise présente dans des secteurs hautement réglementés ( défense, services financiers, santé, administration publique), cette consolidation de l’identité, de la sécurité et de la conformité en un plan de contrôle unifié est une condition sine qua non du déploiement.

La stratégie d’Atos repose sur trois piliers : l’IA agentique pour les environnements critiques, la souveraineté numérique et la cybersécurité. En se transformant d’abord lui-même, le groupe entend industrialiser ces capacités avant de les proposer à ses clients, notamment dans les secteurs réglementés où la confiance dans l’infrastructure est non négociable.»

Ces capacités seront intégrées aux studios d’IA agentique souveraine qu’Atos est en train de constituer, avec pour ambition déclarée de mettre l’IA en production en toute sécurité dans des organisations complexes.

Photo: © DR

The post Atos déploie Microsoft 365 Copilot pour tous ses salariés appeared first on Silicon.fr.

L’intelligence artificielle s’est imposée dans les entreprises à une vitesse sans commune mesure. Assistants conversationnels, automatisation documentaire, analyse prédictive et copilotes métiers se généralisent dans tous les secteurs, souvent plus vite que les capacités d’encadrement des organisations.

Dans ce contexte, la question n’est plus de savoir si l’IA sera utilisée, mais comment elle sera gouvernée, sécurisée et intégrée aux processus internes. Le RSSI se retrouve ainsi au centre des attentes et des responsabilités.

Pourtant, l’essor de l’IA dépasse largement le seul cadre de la cybersécurité. En transformant les usages, les modes de décision et la circulation des données, il rend de moins en moins réaliste l’idée que les RSSI puissent porter seuls les risques liés à l’IA.

Une transformation des risques qui redéfinit le rôle du RSSI

Historiquement, le rôle du Responsable de la Sécurité des Systèmes d’Information consistait à protéger les infrastructures, les accès et les données sensibles. Son périmètre était clairement identifié autour de la prévention des cyberattaques et de la maîtrise des risques techniques.

Mais avec l’essor de l’IA générative, le sujet change de dimension. L’intelligence artificielle ne crée pas seulement un nouveau risque cyber. Elle modifie les usages, accélère les flux de données et transforme parfois même les mécanismes de décision au sein des entreprises.

Cette évolution bouleverse également un pilier majeur de la cybersécurité moderne à savoir l’identité numérique. Aujourd’hui, l’identité est devenue la principale surface d’attaque des organisations. Comptes utilisateurs, accès cloud, API, assistants automatisés et agents IA multiplient les points d’entrée potentiels. Dans de nombreuses entreprises, les équipes sécurité peinent déjà à suivre le rythme de création et de gestion des privilèges.

Le phénomène est encore renforcé par l’apparition massive des identités non humaines. Les agents IA, bots et systèmes automatisés obtiennent des accès à des ressources sensibles à une cadence que les équipes de sécurité ne parviennent plus toujours à contrôler efficacement. Cette multiplication des identités techniques crée un nouveau déséquilibre entre la vitesse d’adoption des usages et la capacité réelle des organisations à les gouverner.

Le RSSI devient ainsi bien plus qu’un expert technique. Il est désormais attendu comme un coordinateur de la confiance numérique capable d’évaluer les risques liés à l’IA, de prévenir les fuites de données, de superviser les usages internes et de contribuer à la conformité réglementaire notamment dans le cadre des nouvelles exigences européennes.

Une gouvernance de l’IA qui doit devenir collective

Le principal paradoxe est que les entreprises continuent souvent de traiter l’IA comme un simple sujet technologique ou cyber alors qu’il s’agit avant tout d’une transformation globale de l’organisation.

La gouvernance de l’IA concerne autant les directions métiers que les fonctions juridiques, les ressources humaines, la conformité, la DSI ou encore les instances dirigeantes. Les enjeux touchent à la confidentialité des données, à la propriété intellectuelle, à la responsabilité des décisions automatisées mais aussi à l’éthique et à la réputation des entreprises.

Dans ce contexte, le RSSI ne peut plus être considéré comme l’unique rempart face aux risques liés à l’IA. Aucun responsable sécurité ne peut à lui seul définir les usages acceptables , arbitrer les impacts organisationnels de l’automatisation ou porter l’ensemble des obligations réglementaires qui émergent aujourd’hui.

Cette absence de gouvernance claire favorise déjà l’émergence d’un phénomène comparable au shadow IT que beaucoup qualifient désormais de « shadow AI ». Des collaborateurs utilisent des outils d’IA sans validation interne et parfois avec des données sensibles dans une logique de gain de productivité immédiat. Ces usages sont rarement malveillants, mais ils révèlent un écart croissant entre la rapidité d’adoption des technologies et la maturité des organisations pour les encadrer.

Interdire les outils d’IA serait illusoire. Les entreprises qui choisiraient une approche uniquement restrictive prendraient le risque de voir les usages se déplacer hors de tout cadre officiel. L’enjeu n’est donc plus de bloquer mais d’organiser. Cela suppose de mettre en place des politiques claires, de sensibiliser les collaborateurs, de classifier les données exploitables et surtout de partager la responsabilité de la gouvernance entre l’ensemble des fonctions de l’entreprise.

L’arrivée de l’intelligence artificielle est en train de transformer en profondeur la fonction sécurité. Le RSSI ne doit plus seulement protéger le système d’information, mais contribuer à la confiance numérique et au dialogue entre les directions métiers, juridiques, RH et stratégiques.

Cette évolution suppose une gouvernance collective de l’IA, car ses risques dépassent largement le seul périmètre cyber. Plus qu’une technologie à sécuriser, l’IA transforme les modes de production, de collaboration et de décision des entreprises.

*Bruno Durand est Vice-président Europe du Sud chez Sophos

The post IA en entreprise : pourquoi les RSSI ne peuvent plus porter seuls le risque appeared first on Silicon.fr.

L’information, révélée par le Financial Times  (FT) ce 18 mai, illustre l’ampleur des inquiétudes que suscite désormais Claude Mythos dans les plus hautes sphères de la régulation mondiale.

Anthropic, son éditeur, va prochainement briefer les ministères des Finances et les banques centrales membres du Financial Stability Board (FSB) sur les failles de cybersécurité détectées par son « modèle frontier »  dans le système financier mondial.

À l’origine de cette démarche : Andrew Bailey, gouverneur de la Banque d’Angleterre et président du FSB, le gendarme mondial chargé de coordonner la réglementation financière des pays du G20. C’est lui qui aurait sollicité Anthropic pour que la société vienne présenter les capacités de son modèle Claude Mythos Preview devant ses membres.

Conçu spécifiquement pour la cybersécurité, il est capable de détecter des vulnérabilités vieilles de plusieurs décennies dans les navigateurs web, les infrastructures et les logiciels.

Compte tenu de ce potentiel, la diffusion du modèle est pour l’instant strictement encadrée. Seule une quarantaine d’organisations y ont accès, essentiellement américaines : Amazon, Microsoft ou JPMorgan Chase figurent parmi les bénéficiaires, qui peuvent ainsi corriger les failles identifiées. Anthropic s’est engagé à ne pas élargir cette distribution, à la demande de la Maison Blanche.

Un modèle à diffusion ultra-restreinte

Pour les acteurs non américains, la société a néanmoins accepté de fournir des briefings de haut niveau à certaines institutions, comme la Commission européenne.

Les régulateurs financiers mondiaux sont particulièrement exposés à ce risque. Les banques reposent en grande partie sur des systèmes informatiques anciens  que des outils comme Mythos pourraient exploiter ou, au contraire, aider à sécuriser.

Le FSB travaille actuellement à un rapport sur les « bonnes pratiques » d’adoption de l’IA dans le secteur financier, dont la consultation publique est prévue pour le mois prochain.

Au-delà des banques centrales, c’est l’ensemble de l’architecture financière internationale qui est en jeu.

Début mai, le Fonds monétaire international avait mis en garde contre une menace systémique, estimant que les nouveaux modèles d’IA « élèvent le risque cyber au niveau d’un choc macro-financier potentiel ».

Dans un billet de blog, ses économistes avaient insisté : « Le risque cyber ne respecte pas les frontières. Les pays émergents et en développement, qui disposent souvent de ressources plus limitées, peuvent être exposés de manière disproportionnée. »

Le FSB et Anthropic ont refusé de commenter leurs échanges récents.

Image : © DR

The post Claude Mythos : Anthropic va briefer les banques centrales du G20 appeared first on Silicon.fr.

Il y aura bientôt, chez Oracle, une distribution mensuelle de correctifs de sécurité.

L’éditeur l’avait annoncé fin avril. Il vient de communiquer un calendrier. La première échéance est fixée au 28 mai. Ce sera ensuite le troisième mardi du mois. Donc le 16 juin, le 21 juillet, le 18 août, etc.

Ces correctifs seront plus ciblés que les mises à jour trimestrielles, qui en reprendront d’ailleurs le contenu. Ils ne se substitueront pas aux diffusions « hors bande » pour les failles qui nécessitent une remédiation immédiate. La dernière en date, détectée en mars, affectait Identity Manager et Web Services Manager. Elle posait un risque d’exécution de code à distance sans authentification (score de base : 9,8).

Dans son annonce de fin avril, Oracle avait rappelé avoir accès à Claude Mythos Preview et aux « modèles les plus compétents » d’OpenAI. Les IA de dernière génération « augmentent la vitesse et l’échelle » de découverte des vulnérabilités, avait-il affirmé. Assez pour s’engager, donc, à mensualiser les correctifs pour les environnements sur site.

Á consulter en complément :

Claude Mythos inquiète les banques européennes
GPT-5.4-Cyber, la réponse d’OpenAI à Claude Mythos
Microsoft intègre Claude Mythos à son programme de développement sécurisé
Comment le Campus Cyber juge l’impact de Claude Mythos

Illustration générée par IA

The post Oracle inaugure son « Patch Tuesday » : l’effet Claude Mythos ? appeared first on Silicon.fr.