PolySécure Podcast volet Actualités

Je suis dans une alcôve dans une chambre d’hôtel, d’où l’écho inhabituel… et première diffusion live sur Twitch.

L’épisode s’ouvre sur un phénomène observé sur Tinder : certains profils contiennent une dernière photo manifestement absurde — un visage humain grossièrement intégré dans une image aléatoire (statue, panneau publicitaire). La théorie qui circule est que ces photos serviraient à contourner le système de vérification d’identité de la plateforme. Les fraudeurs utiliseraient cette image pour obtenir le badge « vérifié », puis la laisseraient en dernière position en espérant que les utilisateurs, éblouis par les premières photos générées par IA, n’y prêtent pas attention.

Ce constat amène une réflexion plus large sur la valeur réelle des systèmes de vérification en ligne. Les coanimateurs rappellent l’époque du « vrai » crochet bleu sur Twitter, qui exigeait pièces d’identité et articles pour valider l’authenticité d’un compte. Depuis le rachat par Elon Musk et la transformation en X, n’importe qui peut acheter cette certification, vidant le système de son sens. L’épisode fait le parallèle avec Meta, qui facture également l’authentification. Résultat : les fraudeurs ont simplement appris à acheter la confiance plutôt qu’à la mériter, et les utilisateurs, rassurés par un badge, perdent leur réflexe naturel de vigilance. Un exemple hilarant illustre bien le chaos engendré : un compte parodique nommé « Eli Lilly » avait annoncé que l’insuline devenait gratuite, forçant la vraie entreprise pharmaceutique à démentir publiquement.

Le second sujet porte sur Bolt.new (appelé « vapor » dans l’épisode), une application qui promet à n’importe qui de créer son propre site web ou application sans connaissances en programmation, grâce à l’IA. Le problème est apparu au grand jour quand des bases de données d’utilisateurs se sont retrouvées entièrement exposées au public. La plateforme a d’abord tenté de rejeter la faute sur ses utilisateurs en affirmant que la notion de « public » dans sa documentation était mal comprise — une formulation que les animateurs attribuent elle-même à une rédaction par IA tant le ton est caractéristique.

Cette controverse illustre un problème de fond : coder est un métier qui intègre des principes de sécurité appris au fil des années. Le « vibe coding » reproduit les erreurs des quarante dernières années de développement logiciel, où tout est ouvert par défaut et où la sécurité n’est jamais pensée dès la conception (security by design). L’IA génère du code sans jamais demander « as-tu pensé à la sécurité de tes utilisateurs ? ». Le danger est double : non seulement les applications ainsi créées sont vulnérables, mais les utilisateurs qui s’y connectent ne peuvent pas savoir si elles l’ont été.

La discussion s’élargit à la dévalorisation progressive des métiers créatifs et techniques — photographes, graphistes, développeurs — dont le travail devient invisible aux yeux de décideurs incapables de distinguer un résultat généré automatiquement d’un travail véritablement expert. Les animateurs anticipent toutefois un retour de balancier : les entreprises qui misent tout sur l’IA finiront par réaliser que la valeur humaine est ce qui les différencie réellement sur le marché.

Un troisième bloc aborde la sortie de modèles d’IA présentés comme potentiellement « dangereux » pour la cybersécurité. Les animateurs analysent ces annonces avec scepticisme, y voyant surtout des coups marketing habiles. Ils notent que les vulnérabilités mises en avant ont pu être reproduites avec des modèles publics existants, ce qui relativise le danger présenté.

L’enjeu réel, selon eux, n’est pas tant la puissance brute des modèles que la façon dont ils sont utilisés. Des modèles plus petits, qui hallucinent davantage, peuvent en réalité trouver des vulnérabilités inédites précisément parce qu’ils explorent des zones imprévisibles — une forme de créativité non intentionnelle. L’approche par agents autonomes décentralisés, inspirée du fonctionnement du cerveau ou même des tentacules d’une pieuvre (chaque tentacule dispose d’une capacité décisionnelle propre), est présentée comme bien plus prometteuse que la course aux modèles toujours plus grands.

Le sujet le plus lourd de l’épisode est abordé par Catherine, qui le prépare depuis plusieurs semaines. À l’occasion de l’arrestation d’un homme de 26 ans à Québec, accusé d’avoir contacté des mineurs de 12-13 ans, elle explique l’écosystème criminel connu sous le nom de The Com — un réseau informel structuré autour du cybercrime, de la sextorsion et de la violence hors ligne.

Le groupe 764 est une branche de cet écosystème. Né d’une idéologie néonazie, il s’est rapidement transformé en réseau de grooming systématique ciblant des adolescents vulnérables sur des plateformes comme Roblox, Minecraft et Discord. Les abuseurs repèrent des jeunes exprimant des difficultés (santé mentale, identité, isolement), pratiquent le love bombing pour devenir leur unique point d’ancrage affectif, puis exercent du chantage à partir de photos compromettantes, allant jusqu’à demander des automutilations filmées.

Les animateurs insistent sur l’importance de parler ouvertement avec les enfants, sans jugement, et de connaître les signaux d’alerte : blessures inexpliquées, cadeaux inattendus, comportements dissimulateurs en ligne. Des ressources comme le site du gouvernement néo-zélandais (Netsafe) sont recommandées pour accompagner ces conversations.

L’épisode se termine sur une réflexion collective sur la déshumanisation numérique, la dissociation permanente que génère l’habitude de tout filmer, et le sentiment d’un futur bouché chez les jeunes générations — autant de facteurs qui alimentent ces dérives. Mais plutôt que le désespoir, les animateurs choisissent l’humour comme mécanisme d’adaptation et comme forme d’espoir : rire ensemble, c’est aussi reconnaître une communauté de valeurs et continuer à croire qu’un autre monde est possible.

Je suis en déplacement et je n’ai pas tous mes équipements habituels. Je n’ai pas encore trouvé l’équilibre entre la frugalité des choses que je mets dans ma valise et le maintien de la qualité de l’enregistrement.

Dans cette 14e collaboration entre les balados Cyber Citoyen et PolySécure, Nicolas reçoit Catherine Dupont-Gagnon et Samuel Harper pour une discussion dense et animée sur plusieurs enjeux de cybersécurité, de surveillance et de démocratie numérique. L’épisode couvre trois grands thèmes : le projet de loi canadien C-22, les révélations sur le Department of Homeland Security américain, et la montée des outils d’influence politique automatisés.

Samuel Harper introduit le projet de loi C-22, une version remaniée et plus ciblée de l’ancien C-2, qui avait suscité beaucoup de controverse. Si certaines dispositions particulièrement attentatoires à la vie privée ont été retirées — notamment la fouille du courrier postal et la collecte de données sans mandat — d’autres éléments soulèvent encore des préoccupations.

Parmi les changements notables, les forces de l’ordre pourront désormais demander à un fournisseur de services Internet ou de télécommunication si une personne y détient un compte, sans avoir besoin d’un mandat préalable. La compagnie doit simplement répondre par oui ou non. Sam souligne que cette disposition, bien qu’encadrée, pourrait permettre de dresser des profils assez détaillés en croisant les informations de plusieurs fournisseurs.

Le projet de loi prévoit également d’obliger certains fournisseurs — désignés comme « core providers » — à conserver les métadonnées de communications pendant une période maximale d’un an. Cela inclut notamment des données de géolocalisation et des informations sur quels appareils ont communiqué entre eux. Catherine soulève un point crucial : cette obligation de conservation crée une cible de choix pour des acteurs malveillants ou des employés internes corrompus qui pourraient accéder à ces données de façon non autorisée.

Le trio discute également de la légalisation pour les forces de l’ordre d’utiliser des données de sources ouvertes (réseaux sociaux publics, forums) et potentiellement d’acheter des données auprès de data brokers. Cette dernière pratique est particulièrement problématique, car elle permet de contourner l’exigence d’un mandat judiciaire en remplaçant la procédure légale par un simple budget d’enquête. La question des données de santé achetables sur le marché, et la facilité croissante de désanonymiser des individus grâce à l’intelligence artificielle, vient compléter ce tableau préoccupant.

Pour ceux qui souhaitent s’opposer au projet de loi, Samuel rappelle que les citoyens peuvent contacter leur député, écrire des commentaires sur le site du Parlement ou demander à témoigner en comité.

Catherine prend ensuite la parole pour présenter des documents divulgués par des activistes concernant des projets de surveillance du Department of Homeland Security américain. Environ 6 000 entreprises auraient soumis des propositions à l’agence, allant de la surveillance biométrique avancée dans les aéroports jusqu’à l’utilisation des téléphones comme scanners biométriques.

Le projet qui retient le plus l’attention de Catherine est une plateforme qui analyserait les appels au 911 à l’échelle nationale pour créer une carte prédictive des incidents criminels — une forme de « minority report » appliquée à la police. Cette approche algorithmique de la prévention du crime est hautement problématique en raison des biais systémiques qu’elle risque de reproduire et d’amplifier. Le livre Automating Inequality est mentionné comme référence sur ce sujet.

Samuel insiste sur le fait que ces projets ne sont pas que théoriques : certains sont déjà partiellement retenus et font l’objet de financements dépassant les 100 milliards de dollars. Sans tomber dans le fatalisme, les trois animateurs rappellent que la résistance citoyenne a déjà démontré son efficacité — notamment à Minneapolis — et que des solutions créatives et low-tech, comme des techniques de maquillage perturbant la reconnaissance faciale, peuvent constituer des formes de résistance accessibles et efficaces.

Catherine présente ensuite un article du Devoir portant sur une entreprise israélienne qui commercialise une technologie d’influence politique au Canada. Le principe : envoyer des messages à des sympathisants pour les inciter à interagir avec des publications politiques, en générant même des commentaires personnalisés par intelligence artificielle afin d’éviter la détection des plateformes.

Il ne s’agit pas de bots, mais d’humains dont l’action est orchestrée et facilitée par la machine, ce que Samuel qualifie d’« astroturfing gamifié ». La comparaison avec Cambridge Analytica est inévitable : on instrumentalise les liens de confiance entre individus, comme Farmville le faisait jadis sur Facebook pour aspirer les données des amis d’utilisateurs. L’enjeu démocratique est fondamental : l’application est conçue pour que l’utilisateur n’ait pas à réfléchir au message qu’il diffuse, court-circuitant ainsi l’engagement politique authentique.

La discussion dérive naturellement vers l’usage de l’IA générative dans les milieux professionnels et éducatifs. Catherine observe une dégradation notable chez ses étudiants : travaux générés en quelques secondes sans relecture, anxiété accrue aux examens, baisse des résultats sur des évaluations identiques à celles d’il y a 18 mois. Elle note que les étudiants délèguent même la prise de notes à des outils IA lors des cours Zoom, privant leur cerveau du travail cognitif nécessaire à la mémorisation.

Nicolas renchérit en évoquant la qualité des documents reçus dans son milieu professionnel, qu’il décrit comme des textes « bien polis mais sans substance » — un éternuement qui n’aboutit pas. Le groupe s’entend pour dire que l’IA est un outil utile dans certains contextes, mais que son utilisation généralisée et non réfléchie érode des compétences fondamentales. La solution, jugée simple mais exigeante, reste de faire l’effort cognitif soi-même.

L’épisode se termine sur une note d’espoir mesuré : sans nier la gravité des enjeux abordés, les trois animateurs refusent le fatalisme. Ils évoquent la possibilité de diffuser le balado sur Twitch pour rejoindre un public plus jeune, et s’engagent à tester prochainement la fameuse application de militantisme virtuel pour en analyser les résultats dans un épisode futur.

Cyblex Consulting