Une enquête auprès de 1 200 personnes confirme un constat bien connu, Fable 5 revient avec des conditions, l'informatique quantique cesse d'être un problème hypothétique, les garde-fous de ChatGPT cèdent, et Meta supprime un contrôle de confidentialité.
Au sommaire
- 01Tout le monde est conscient du risque. Presque personne n'est résilient.
- 02Fable 5 est de retour. La moitié de votre code atterrit quand même sur Opus 4.8.
- 03L'informatique quantique est un problème pour 2029. Vos données sont copiées aujourd'hui.
- 04Les garde-fous ont tenu, jusqu'à ce qu'une invite légèrement modifiée les franchisse.
- 05Meta supprime le contrôle de tracking dont il se vantait autrefois.
Recevez le prochain GRC Brief dans votre boîte mail.
S'abonner à The GRC BriefTout le monde est conscient du risque. Presque personne n'est résilient.
Le rapport Bitdefender 2026 Cybersecurity Assessment a interrogé 1 200 professionnels de l'IT et de la sécurité dans six pays, et le constat est le même partout : un fossé entre la prise de conscience et la résilience. Les organisations comprennent les risques mieux que jamais, mais peinent à les traduire en capacité opérationnelle. Quelques chiffres frappent. Dirigeants et praticiens ne s'entendent pas sur les bases : 58 % des managers estiment avoir une visibilité complète sur l'usage de l'IA par leurs collaborateurs, contre 45,9 % des praticiens qui travaillent sous leurs ordres. Si les menaces liées à l'IA occupent le podium des préoccupations, Bitdefender Labs constate que 84 % des attaques de haute sévérité utilisent des techniques Living off the Land, qui exploitent les outils déjà présents dans l'environnement, et seulement un répondant sur cinq place cette menace en tête de ses inquiétudes. Par ailleurs, 55 % des organisations victimes d'une violation déclarent avoir reçu la consigne de taire l'incident, même lorsqu'elles estimaient qu'une notification aux autorités s'imposait.
Source: The Hacker News · Bitdefender 2026 Assessment, 1 Jul 2026
Mon analyse
Moment d'autosatisfaction assumé. C'est ce que je dis à mes clients depuis des années, et le message que je répète dans mes interventions récentes. Mon webinaire PECB de cette année, <a href="https://www.youtube.com/watch?v=OtzGRLayYR8" target="_blank" rel="noopener">Closing the Decision Gap</a>, développait exactement ce point, et il est désormais mesuré sur 1 200 personnes. La prise de conscience n'est pas la résilience. Connaître le risque, acheter l'outil, réussir l'audit : rien de tout cela n'est équivalent à survivre à l'incident.
Deux chiffres à méditer. Les managers affirment voir les usages de l'IA. Les praticiens qui travaillent sous leurs ordres affirment le contraire. Cet écart résume tout le problème en une ligne : des décideurs qui pilotent sur une image que ceux qui font le travail savent fausse.
Et le chiffre sur le Living off the Land est révélateur. Tout le monde panique sur l'IA, pendant que 84 % des attaques sérieuses exploitent simplement les outils déjà en place dans l'environnement. La menace banale est celle qui vous touche. La résilience se construit sur un travail ingrat, pas sur les manchettes.
Fable 5 est de retour. La moitié de votre code atterrit quand même sur Opus 4.8.
Après le retrait de la directive sur le contrôle des exportations par le Département du Commerce américain le 30 juin, Anthropic a rétabli Claude Fable 5 pour l'ensemble des utilisateurs mondiaux le 1er juillet, soit environ trois semaines après l'avoir retiré. Même modèle, même tarif, sans vérification de nationalité. La nuance tient aux garde-fous. Anthropic a redéployé Fable 5 avec un classificateur de sécurité plus strict et annonce qu'à court terme certaines tâches courantes, notamment le codage et le débogage, seront bloquées et redirigées vers le modèle plus petit Opus 4.8, avec notification à l'utilisateur. Anthropic présente cela comme un paramètre temporaire et prudent qu'il ajustera progressivement dans les prochaines semaines, et précise que ses propres tests ont montré que des modèles moins performants pouvaient reproduire les travaux sur les vulnérabilités à l'origine de l'incident.
Source: Anthropic · Redeploying Fable 5, 1 Jul 2026
Mon analyse
Il est donc de retour. Et pour le travail réel, il est à moitié inutile, par conception. Je fais du codage et du débogage, exactement ce que le nouveau classificateur renvoie vers Opus 4.8. Je sollicite le modèle le plus performant et me retrouve avec le plus petit, en pleine tâche, avec une notification. Compréhensible du point de vue de la prudence d'Anthropic. Frustrant quand on a payé pour Fable et qu'on obtient Opus.
Relisez ce que j'écrivais la semaine dernière. Je vous disais que l'IA de frontier était devenue une licence que Washington accorde et révoque, et qu'il fallait garder une seconde option qui n'en dépend pas. Une semaine plus tard, la licence est rendue, avec de nouvelles conditions, et le modèle bascule discrètement vers une version moins performante sur les tâches qui m'importent. La question n'a jamais été ce modèle précis. La question, c'est la dépendance.
Soyons honnêtes : Anthropic lui-même indique que ce paramètre est conservateur et sera assoupli, et que des modèles moins puissants peuvent accomplir le même travail. Que vous le croyiez ou non, la leçon tient : ne câblez pas un seul modèle dans quoi que ce soit que vous ne pouvez pas vous permettre de perdre.
L'informatique quantique est un problème pour 2029. Vos données sont copiées aujourd'hui.
Microsoft a annoncé l'accélération de sa feuille de route post-quantique, en avertissant que des ordinateurs quantiques cryptographiquement pertinents pourraient arriver plus tôt que prévu et que les travaux de migration sont suffisamment conséquents pour démarrer maintenant. Le facteur déclencheur est le harvest now, decrypt later : les données chiffrées volées aujourd'hui peuvent être stockées et déchiffrées une fois que le matériel aura suffisamment progressé. Microsoft prévoit de migrer ses produits et services critiques vers la cryptographie post-quantique d'ici 2029, et ses recommandations portent moins sur le remplacement des algorithmes à court terme que sur la préparation : adopter des protocoles modernes comme TLS 1.3, construire une crypto-agilité permettant de remplacer les algorithmes sans repenser les applications, et moderniser les chaînes de confiance liées à la signature de code et aux certificats. Apple, Google et Signal ont déjà commencé.
Source: BleepingComputer · Microsoft Quantum Safe Program, 30 Jun 2026
Mon analyse
Ce que les gens vont mal comprendre : ce n'est pas un problème pour 2029. Le harvest now, decrypt later signifie que le compteur a déjà démarré. Tout ce que vous chiffrez aujourd'hui et qui doit rester confidentiel dans dix ans, dossiers médicaux, contrats, propriété intellectuelle, peut être copié maintenant et ouvert plus tard.
La priorité n'est pas de paniquer sur les algorithmes. C'est de la gouvernance. Savez-vous seulement où vit votre cryptographie ? Pouvez-vous remplacer un algorithme sans réécrire l'application ? C'est la crypto-agilité, et la plupart des organisations ne l'ont pas. Commencez par un inventaire et TLS 1.3, comme Microsoft, Apple, Google et Signal l'ont déjà fait.
Pour votre Annexe A et votre registre des risques, l'informatique quantique cesse d'être une note de bas de page cette année. Non parce que la machine est là, mais parce que la collecte n'attend pas qu'elle arrive.
Les garde-fous ont tenu, jusqu'à ce qu'une invite légèrement modifiée les franchisse.
La société britannique de sécurité IA Mindgard a démontré qu'une version légèrement modifiée d'une invite virale inoffensive pouvait pousser le générateur d'images de ChatGPT à produire des contenus graphiques violents et sexuels non sollicités, y compris des images dérangeantes de femmes mortes. La technique consistait à demander au modèle de restaurer une image tout en lui faisant croire que l'original était extrêmement explicite, ce qui a suffi à contourner les garde-fous. Les défenses déclarées d'OpenAI, des classificateurs combinés à un modèle aval qui examine les sorties, n'ont pas suffi. Le rapport précise que ce n'est pas isolé : des techniques antérieures ont produit des images intimes non consenties et des substitutions de visages, et Grok de xAI s'en est sorti moins bien, des chercheurs ayant signalé des contenus aux régulateurs français comme potentiellement illicites au titre du Digital Services Act. Une étude de gouvernance avertit que certaines entreprises d'IA se réservent le droit d'assouplir leurs garde-fous pour s'aligner sur la concurrence, une course vers le bas.
Source: Malwarebytes · Mindgard research, 1 Jul 2026
Mon analyse
Ce qui compte n'est pas que ChatGPT puisse être trompé. C'est que les affirmations de sécurité des éditeurs sont du marketing, pas un contrôle sur lequel vous pouvez vous appuyer. Des classificateurs plus un modèle de revue, mis en échec par une seule invite reformulée. Voilà la réalité derrière chaque diapositive « notre IA est sûre ».
Si vous gouvernez l'IA dans votre organisation, la conclusion est directe : vous ne pouvez pas externaliser votre risque sur les garde-fous du modèle. Si votre politique d'usage acceptable, votre surveillance et vos contrôles supposent que le filtre de l'éditeur tient, vous n'avez pas un contrôle, vous avez un espoir. C'est exactement le fossé qu'ISO 42001 existe pour combler.
Et notez ce qui se cache en dessous. Une étude de gouvernance a révélé que certains fournisseurs se réservent le droit d'affaiblir leurs garde-fous pour s'aligner sur la concurrence. Une course vers le bas, écrite noir sur blanc. Quand le plancher est fixé par celui qui se soucie le moins, construisez votre propre plancher.
Meta supprime le contrôle de tracking dont il se vantait autrefois.
Meta retire Activité en dehors de Facebook, le contrôle lancé vers 2019 qui permettait de déconnecter les données que des sites et applications tiers lui transmettent, et de supprimer vos informations d'identification de ces données. Les utilisateurs voient apparaître des bandeaux « vos paramètres changent » et des e-mails indiquant que l'option de déconnexion disparaît, remplacée par un paramètre intitulé Activité provenant d'autres entreprises. Le changement concret, tel que le lisent les défenseurs de la vie privée : le nouveau contrôle régit l'utilisation de ces données hors site par Meta, non leur conservation, et Meta étend l'usage de ces données de la publicité à la personnalisation de votre fil d'actualité et de vos reels. Meta avait présenté la fonctionnalité originale en 2019 comme plaçant le contrôle des utilisateurs au-dessus de son propre modèle publicitaire.
Source: PCMag · Meta settings change, Jul 2026
Mon analyse
Celui-ci est simple, et c'est un recul. Meta retire un contrôle dont il se vantait autrefois, et le remplaçant change discrètement la question : non plus « supprimer ces données » mais « nous autoriser ou non à les utiliser », pendant que les données elles-mêmes restent. Un recul en matière de confidentialité habillé en mise à jour de paramètres.
La démarche individuelle n'a pas changé. Accédez à vos paramètres Meta et désactivez Activité provenant d'autres entreprises, utilisez un navigateur respectueux de la vie privée avec blocage des traceurs, ou quittez la plateforme. Une réserve, compte tenu de la semaine dernière : choisissez votre bloqueur de traceurs avec soin. Un bloqueur de publicités installé par 10 millions d'utilisateurs avec un détournement caché n'est pas de la confidentialité, c'est le même problème avec un badge plus présentable.
Pour les professionnels qui lisent ceci, le point central est celui du consentement. Quand un contrôle qui limitait le suivi inter-sites disparaît et que les données sont conservées par défaut, c'est une conversation GDPR, pas un ajustement UX. Observez comment les régulateurs vont réagir.