La reconnaissance faciale se généralise

☕️ États-Unis : une femme emprisonnée 5 mois sur la foi d’une reconnaissance faciale erronée

Angela Lipps, 50 ans, mère et grand-mère résidant à Elizabethton dans le Tennessee, a été arrêtée le 14 juin 2025 à son domicile et incarcérée pendant cinq mois pour des fraudes bancaires commises à Fargo, dans le Dakota du Nord — un État qu'elle n'avait jamais visité. Le mandat d'arrêt avec demande d'extradition nationale avait été signé le 1er juillet par un juge du Dakota du Nord, treize jours avant son arrestation sous les yeux de ses petits-enfants. Après trois mois de détention dans les prisons du Tennessee, elle a été transférée au Dakota du Nord le 30 octobre, c'était la première fois qu'elle prenait l'avion. Ce n'est qu'à ce moment qu'un avocat lui a été assigné, lequel a rapidement démontré, relevés bancaires à l'appui, qu'elle ne s'était jamais absentée du Tennessee durant la période des fraudes. L'affaire a été classée sans préjudice le 23 décembre 2025. Ce dossier illustre avec une brutalité rare les dérives concrètes des systèmes de reconnaissance faciale déployés sans garde-fous suffisants. À l'origine de l'erreur : un outil de Clearview AI utilisé par la police de West Fargo, qui avait identifié Angela Lipps comme « suspect potentiel présentant des traits similaires ». Ces images ont été transmises à la police de Fargo, dont un enquêteur les a prises pour des images de surveillance classiques, sans réaliser qu'elles étaient le produit d'un algorithme. Aucune vérification supplémentaire sérieuse n'a été effectuée avant d'émettre un mandat national. Résultat : une femme innocente a passé cinq mois derrière les barreaux, séparée de sa famille, sans accès à un avocat ni aux éléments de l'enquête pendant la majeure partie de sa détention. Cette affaire s'inscrit dans une série de cas documentés aux États-Unis où la reconnaissance faciale a conduit à des arrestations erronées, touchant de manière disproportionnée des personnes racisées ou, comme ici, des individus n'ayant aucun moyen immédiat de prouver leur innocence. La police de Fargo a depuis annoncé qu'elle n'utiliserait plus les résultats des systèmes de West Fargo, faute de comprendre leur fonctionnement — aveu qui soulève autant de questions qu'il n'en résout. Le directeur des forces de l'ordre Dave Zibolski a évoqué des mesures disciplinaires pour les policiers impliqués, et les bureaux du procureur du Dakota se sont déclarés « très intéressés » par des formations sur les risques liés à ces technologies. Les avocats d'Angela Lipps cherchent toujours à obtenir des explications sur les raisons pour lesquelles leur cliente a été maintenue en détention aussi longtemps sans défense juridique. Aucune excuse officielle ne lui a été présentée à ce jour.

OpenAI lance Daybreak : La fin des failles de sécurité informatiques ?

OpenAI a lancé le 11 mai 2026 une nouvelle plateforme de cybersécurité baptisée Daybreak, conçue pour détecter les failles logicielles, générer des correctifs et les valider automatiquement. Annoncée par Sam Altman sur X comme "un effort visant à accélérer la cyberdéfense et à sécuriser les logiciels en continu", la plateforme repose sur plusieurs variantes de GPT-5.5 combinées à Codex Security. Daybreak est proposée en trois niveaux d'accès : une offre Standard pour les tâches générales, un niveau intermédiaire "Trusted Access for Cyber" couvrant l'analyse de code, le tri des vulnérabilités, la détection de malwares et la validation des correctifs, et enfin GPT-5.5-Cyber, réservé aux équipes certifiées pour les analyses avancées et les tests d'intrusion autorisés. L'outil promet de ramener de plusieurs heures à quelques minutes des analyses qui mobilisaient jusqu'ici des équipes entières, et de livrer ses résultats accompagnés de preuves compatibles avec les exigences d'audit. L'enjeu est considérable pour les équipes de sécurité qui font face à un volume croissant de vulnérabilités et à des cycles de correction toujours plus courts. En automatisant la détection et la génération de patches directement dans les dépôts de code, Daybreak vise à combler l'écart de vitesse entre attaquants et défenseurs. Le directeur technique de Cloudflare a déjà salué la précision du raisonnement de sécurité du système, estimant qu'il améliore nettement l'analyse des risques. Pour les entreprises exposées à des infrastructures critiques, cela représente un changement de paradigme : passer d'une gestion réactive des incidents à une sécurisation quasi continue du code en production. Daybreak s'inscrit dans une course ouverte entre les grands laboratoires d'IA sur le terrain de la cybersécurité. La plateforme est une réponse directe à Claude Mythos, le modèle spécialisé d'Anthropic dédié à la cyberdéfense, encore inaccessible au grand public au moment du lancement. OpenAI semble vouloir capitaliser sur les performances de GPT-5.5 dans ce domaine avant que son rival ne déploie sa propre solution. La question qui reste en suspens est celle du double usage : les mêmes capacités qui permettent d'identifier et de corriger des failles peuvent théoriquement servir à les exploiter. OpenAI affirme avoir intégré des mécanismes de contrôle et de vérification pour encadrer l'usage de la plateforme, notamment via l'accès restreint aux fonctions les plus sensibles. La crédibilité de ces garde-fous sera déterminante pour convaincre les grands comptes et les régulateurs que l'IA défensive ne crée pas, en parallèle, de nouveaux vecteurs d'attaque.

💬 C'est le double usage qui va faire ou défaire Daybreak : les modèles qui détectent et patchent des failles peuvent les exploiter, et OpenAI sait très bien que ses garde-fous vont être testés par des gens beaucoup moins bienveillants que ses équipes certifiées. Bon, sur le papier c'est solide, le CTO de Cloudflare ne valide pas pour rien. Reste à voir si les contrôles tiennent face à des attaquants qui, eux, n'ont pas demandé de licence.

Les charges de travail edge IA en hausse imposent un renforcement de la gouvernance en entreprise

Google a publié Gemma 4, une famille de modèles d'intelligence artificielle à poids ouverts conçue pour fonctionner directement sur des appareils locaux, sans passer par le cloud. Sous licence Apache 2.0, ce modèle peut être téléchargé librement et exécuté sur un simple ordinateur portable d'entreprise. Google l'a accompagné de l'AI Edge Gallery et de la bibliothèque LiteRT-LM, qui optimisent drastiquement les vitesses d'inférence locale et permettent des comportements agentiques complexes : un agent Gemma 4 peut enchaîner des milliers d'étapes logiques, exécuter du code et traiter des données sensibles entièrement hors ligne, sans déclencher la moindre alerte sur les pare-feux cloud de l'entreprise. C'est précisément là que réside le problème pour les responsables de la sécurité informatique. Les grandes organisations ont investi massivement dans des architectures de contrôle centrées sur le réseau : courtiers d'accès cloud sécurisés, passerelles d'entreprise surveillant tout le trafic sortant vers des LLM externes. Ce dispositif repose sur un postulat simple : si les données ne quittent pas le réseau, elles restent protégées. Gemma 4 anéantit cette logique. Un ingénieur peut désormais ingérer des données internes classifiées, les traiter via un agent local, et produire des résultats sans qu'un seul octet ne transite par les systèmes de supervision. Les banques, qui ont dépensé des millions pour journaliser précisément leurs usages d'IA générative afin de satisfaire les régulateurs, risquent de se retrouver en violation de plusieurs cadres de conformité simultanément si des stratégies de trading algorithmique ou des protocoles d'évaluation des risques sont traités par un agent non surveillé. Les établissements de santé font face au même enjeu : le règlement HIPAA et les lois européennes de protection des données exigent une traçabilité complète du traitement des données patients, traçabilité impossible lorsque le modèle opère entièrement hors ligne. Ce basculement s'inscrit dans une tension structurelle que les chercheurs en sécurité appellent le "piège de gouvernance". Face à la perte de visibilité, les équipes dirigeantes répondent souvent par davantage de bureaucratie : comités d'architecture, formulaires de déploiement, processus d'approbation rallongés. Ces obstacles freinent rarement un développeur sous pression de livraison ; ils poussent simplement les pratiques dans l'ombre, alimentant un écosystème d'informatique fantôme animé par des logiciels autonomes. La montée en puissance des modèles edge comme Gemma 4 marque une rupture fondamentale avec l'ère des API centralisées : gouverner l'IA locale nécessite désormais des approches radicalement différentes, ancrées dans l'appareil lui-même plutôt que dans le réseau, à un moment où peu d'organisations disposent encore des outils pour y parvenir.

💬 Toute la sécurité réseau des grandes boîtes reposait sur un postulat simple : si ça ne sort pas du réseau, c'est protégé. Gemma 4 rend ce raisonnement caduc d'un coup, et les équipes de conformité RGPD dans les banques et les hôpitaux vont avoir du mal à expliquer ça aux régulateurs. Bon, sur le papier elles ont des politiques d'usage, mais une politique ça n'arrête pas un dev qui veut juste finir sa feature avant vendredi.

Anthropic face à un dilemme : son modèle Claude Mythos serait trop puissant pour être lancé

Anthropic travaille sur un nouveau modèle d'intelligence artificielle baptisé Claude Mythos, décrit en interne comme le système le plus puissant jamais développé par l'entreprise. Selon des documents internes dont le contenu a été révélé par le magazine Fortune, ce modèle surpasse les capacités de tous les modèles Claude actuellement disponibles. Malgré ses performances exceptionnelles, Anthropic a décidé de ne pas le lancer publiquement, du moins pas dans l'immédiat. La raison de cette retenue est précisément la puissance du modèle : Mythos serait jugé trop capable pour être diffusé sans précautions supplémentaires. Ce type de décision illustre un dilemme croissant dans le secteur — plus les modèles progressent, plus les questions de sécurité et d'évaluation des risques deviennent centrales avant tout déploiement. Pour les utilisateurs professionnels et les entreprises qui dépendent des API d'Anthropic, cela signifie que la frontière technologique réelle est désormais en avance sur ce qui est commercialement accessible. Anthropic se distingue depuis sa fondation en 2021 par une approche dite de « sécurité d'abord », à rebours d'OpenAI dont elle est issue. La fuite de ces informations internes intervient dans un contexte de compétition acharnée entre laboratoires d'IA — OpenAI, Google DeepMind, Meta et xAI se livrant une course aux modèles toujours plus puissants. Le cas Mythos soulève une question stratégique : jusqu'où les labos peuvent-ils retenir leurs meilleurs modèles sans perdre du terrain commercial, et comment définir objectivement le seuil au-delà duquel un modèle est « trop dangereux » pour être publié ?