PolySécure Podcast volet Actualités

Je teste une nouvelle façon d’enregistrer en mode nomade. J’ai l’air essoufflé, même si je ne suis pas en train de courir. C’est mon mode delivery avec ce type de micro qui est à retravailler pour mieux respirer et ne pas avoir l’air de courir.

Ce neuvième épisode du balado collaboratif entre Cyber Citoyen et Polysécure, animé par Catherine Dupont-Gagnon et ses invités Sam Harper et Nicolas Louck, aborde plusieurs enjeux critiques de cybersécurité, de vie privée et de technologie qui marquent l’actualité récente.

L’épisode débute avec une mise à jour sur l’application Tea, un sujet récurrent du podcast. Apple et Google ont finalement retiré cette application et son alternative Tea on Earth de leurs magasins, invoquant des problèmes de modération et de vie privée. Malgré ses 6,1 millions de téléchargements et 5 millions de dollars de revenus générés, l’application présentait de graves lacunes de sécurité. Ce qui inquiète particulièrement les experts, c’est l’apparition de copies tentant de combler le vide laissé par ce retrait, des applications tout aussi mal sécurisées. Les animateurs constatent un retour aux groupes Facebook « Are we dating the same guy », malgré les limites de la fonction d’anonymat de Facebook. Cette situation soulève des questions cruciales sur la protection des données sensibles, notamment celles de femmes en situation de vulnérabilité.

La panne d’Amazon Web Services du 22 octobre constitue le deuxième sujet majeur. Au-delà de l’incident technique lui-même, les animateurs s’interrogent sur la concentration monopolistique des infrastructures internet. Le fait qu’une partie importante du web dépende d’un seul point de défaillance représente un risque systémique considérable. Sam rappelle que cette situation n’est pas nouvelle, citant la panne Rogers qui avait paralysé le système d’urgence 911 et Interac. Nicolas mentionne un cas similaire en Australie où une mise à jour de pare-feu a rendu le service d’urgence inaccessible pendant des heures, causant des décès.

Les intervenants soulignent que des entreprises comme Netflix ont conçu leurs systèmes pour tolérer les pannes grâce au « chaos engineering », testant régulièrement leur résilience. Cependant, la majorité des entreprises ne prennent pas ces précautions, préférant la solution la moins coûteuse. Cette négligence révèle un problème plus large : le marché ne punit pas suffisamment les mauvaises pratiques, et les entreprises continuent de dépendre d’une seule zone AWS parce que c’est moins cher, acceptant implicitement le risque de perte de revenus et de réputation.

L’histoire du lit intelligent à 5 000 dollars illustre parfaitement les dangers de l’Internet des objets. Ce lit, qui nécessite un abonnement mensuel de 17 à 33 dollars pour fonctionner, est devenu complètement inutilisable lors de la panne AWS. Sans accès aux serveurs, les utilisateurs ne pouvaient même plus ajuster la position de leur lit, certains se retrouvant coincés en position assise. Cette situation absurde démontre comment la dépendance excessive aux serveurs cloud crée des vulnérabilités dans des objets du quotidien.

Les animateurs élargissent la discussion aux voitures connectées, comme les Tesla qui peuvent être contrôlées à distance, voire désactivées. John Deere a ainsi désactivé des équipements agricoles volés par les Russes en Ukraine. Cette capacité de contrôle à distance soulève des questions fondamentales sur la propriété réelle des objets que nous achetons et sur les modèles d’abonnement pour des fonctionnalités déjà installées physiquement dans les produits.

Une étude majeure coordonnée par l’European Broadcasting Union et la BBC révèle que 45 % des résumés d’actualité générés par l’IA contiennent au moins un problème significatif. Gemini se distingue particulièrement négativement avec 76 % de réponses problématiques. L’étude identifie des erreurs d’attribution, des informations trompeuses ou manquantes, et des hallucinations. Cette situation est d’autant plus préoccupante que 15 % des moins de 25 ans utilisent principalement l’IA pour s’informer sur l’actualité.

Les animateurs soulignent que l’IA n’est pas un moteur de recherche et ne peut se fier à sa base de connaissances pour des informations récentes. Nicolas compare l’IA à quelqu’un qui lit en diagonale, mais sans la capacité humaine de repérer les mots clés pertinents, s’appuyant plutôt sur des modèles statistiques. Les citations fournies par les IA sont souvent incorrectes ou non pertinentes, obligeant à vérifier systématiquement les sources.

Le lancement du navigateur Atlas par OpenAI inquiète les experts en vie privée. Conçu pour rivaliser avec Google, ce navigateur semble destiné principalement à collecter des données pour entraîner les modèles d’IA. Perplexity a déjà lancé un navigateur similaire, criblé de vulnérabilités, et n’a jamais caché que toutes les données de navigation étaient renvoyées vers ses serveurs. Cette course aux données révèle un problème fondamental : l’IA générative ne peut survivre sans nouveau contenu, mais ne peut se nourrir de son propre contenu sous peine de dégradation progressive, comparable à la consanguinité génétique.

Les animateurs anticipent l’explosion imminente de la bulle de l’IA, artificiellement gonflée par le battage médiatique autour de l’intelligence artificielle générale. Microsoft pousse agressivement Copilot en liant les indicateurs de performance des vendeurs au taux d’utilisation chez les clients, malgré des résultats mitigés. Seulement 5 % des projets d’IA donnent des résultats réels. Pendant ce temps, les coûts énergétiques explosent aux États-Unis, financés indirectement par les citoyens, tandis que des villages entiers perdent l’accès à l’eau potable pour refroidir les centres de données.

L’épisode se conclut sur une note plus légère avec l’histoire d’un prisonnier en Roumanie qui a exploité les vulnérabilités d’un système de tablettes pénitentiaires, distribuant du matériel pour adultes et créditant 1,15 million de dollars sur le compte cantine d’un complice. Cette anecdote illustre l’importance de considérer la sécurité numérique avec la même rigueur que la sécurité physique, un continuum souvent négligé.

Dans cette huitième collaboration spéciale GoSec, l’animateur et Catherine Dupont-Gagnon explorent les enjeux actuels de la cybersécurité, de la vie privée et de la désinformation en ligne, offrant un regard critique sur l’évolution inquiétante du monde numérique.

L’épisode débute avec un phénomène alarmant : une coalition de groupes de rançongiciels (Scared Spider et Hunters) qui, au lieu d’exiger des bitcoins, réclame le renvoi de deux chercheurs en intelligence de menaces chez Google. Cette situation survient dans le contexte de la brèche Salesforce récente. Catherine souligne l’importance cruciale de ces recherches pour la défense collective, mais exprime son inquiétude face à cette tendance où les groupes criminels, désormais affiliés au crime organisé traditionnel, ciblent directement les chercheurs.

Le concept de “swatting” est abordé comme méthode d’intimidation : les attaquants appellent les services policiers en inventant des situations d’urgence pour déclencher une intervention violente chez leur cible. Cette pratique, courante dans le monde du gaming, s’étend maintenant au domaine de la cybersécurité, forçant certains chercheurs à garder l’anonymat et à changer régulièrement d’adresse.

Les animateurs discutent d’une révélation troublante : Google peut maintenant identifier les utilisateurs uniquement par leur comportement en ligne, sans authentification traditionnelle. La façon dont nous cliquons, bougeons notre souris et naviguons est si unique qu’elle constitue une véritable empreinte digitale. Google propose d’utiliser cette technologie pour la vérification d’âge en ligne, notamment sur les sites pour adultes.

Catherine exprime son inquiétude face à cette surveillance dystopique. Bien que Google n’ait pas “inventé” cette capacité (elle existait déjà), sa publicisation révèle l’ampleur réelle du pistage en ligne. Les intervenants comparent cette situation au scandale Snowden, mais notent l’absence de réaction publique similaire.

La discussion s’oriente vers les tentatives mondiales de bloquer l’accès à la pornographie pour protéger les mineurs. Les animateurs reconnaissent l’intention louable mais critiquent les approches technologiques proposées, qui menacent le chiffrement, exigent une authentification invasive et créent un précédent dangereux pour la censure. Ils soulignent que l’internet n’a jamais été conçu pour ce type de contrôle.

Catherine met en garde contre la dérive potentielle où certains contenus LGBTQ+ pourraient être classifiés comme “pour adultes”, limitant ainsi l’accès à l’information pour des jeunes vulnérables. Une solution japonaise est présentée comme alternative : l’authentification via les dépanneurs locaux, permettant la vérification d’âge sans collecte massive de données personnelles.

L’arrivée de l’identité numérique au Québec soulève des préoccupations. Les intervenants évoquent le film “The Net” avec Sandra Bullock, où une personne disparaît complètement du système. Lorsque notre existence dépend entièrement du numérique, nous devenons vulnérables aux erreurs et aux piratages. La tentation des gouvernements de monétiser les données de santé revient cycliquement, malgré les mises en garde répétées.

Un des cas les plus graves discutés concerne la fuite massive de données Salesforce, causée non par Salesforce elle-même, mais par un tiers partenaire aux pratiques de sécurité inadéquates. Cette situation illustre le danger de la concentration et de la monopolisation dans l’industrie technologique. Catherine compare l’infrastructure numérique à un édifice construit avec “des centaines de petites briques” vulnérables, chacune pouvant faire effondrer l’ensemble.

L’épisode aborde ensuite un événement récent : l’assassinat d’une figure controversée de la droite alternative lors d’un débat sur la violence armée. Catherine décrit la “chasse à l’homme” en ligne qui s’est ensuivie, où un banquier canadien de 77 ans a été faussement identifié comme le tireur. Sa photo a circulé massivement, y compris via de faux comptes médiatiques avec des crochets de vérification achetés.

Cette situation révèle les dangers de la désinformation en période de crise. Dans le vide informationnel initial, les communautés conspirationnistes ont élaboré des théories variées, certains accusant “les démocrates”, d’autres suggérant une opération interne. Le fait que Grok, l’IA d’Elon Musk, ait brièvement confirmé la fausse identification illustre comment l’intelligence artificielle amplifie la désinformation.

Les animateurs expliquent comment les algorithmes des réseaux sociaux poussent systématiquement vers l’extrémisme. Une recherche innocente comme “recette lundi sans viande” peut mener progressivement vers le véganisme radical, puis basculer vers le régime carnivore extrême. Les algorithmes favorisent la polarisation car l’engagement émotionnel génère des revenus publicitaires. Le consensus n’est pas payant.

Catherine mentionne des études du FBI montrant qu’il peut suffire de 10 jours entre la première exposition à du contenu conspirationniste et un appel à la violence concrète, soulignant la fragilité humaine face à la manipulation.

L’épisode se termine sur une note à la fois sombre et optimiste. Bien que les défis soient immenses, les professionnels de la cybersécurité réunis à GoSec sont bien placés pour développer des solutions. La vulnérabilité humaine qui menace nos mots de passe est la même qui nous expose aux conspirations, suggérant que les approches de protection peuvent s’appliquer tant à la sécurité informatique qu’à la protection de notre démocratie.