#Le brief du 20 avril 2026

La boutique de la console Playdate bannit les contenus générés par IA dans les jeux

La question de l’utilisation de l’IA générative continue d’agiter l’industrie du jeu vidéo et les joueurs. Une ligne semble toutefois se dessiner : si les contenus générés par IA – visuels, audio, textes… – sont de plus en plus rejetés par les joueurs, il existe une certaine tolérance pour le code, forcément moins visible.

Certains acteurs vont désormais plus loin, en posant des règles strictes, voire en fermant la porte à ces usages dans leurs boutiques.

Le studio Panic, qui conçoit des applications pour les développeurs Mac et publie des jeux vidéo, s’est aussi lancé dans le matériel avec la Playdate, une toute petite console portable très attachante, dotée d’un écran monochrome (et d’une manivelle !). Elle s’accompagne d’une boutique de jeux baptisée Catalog, que les développeurs alimentent régulièrement en nouveautés développées avec les outils du constructeur, ce qui est très commun.

Image : Panic

L’IA n’est pas joueuse

Ce qui l’est un peu moins, c’est que Panic a écrit noir sur blanc que le magasin de la Playdate n’acceptera plus de jeux utilisant l’IA générative pour leurs graphismes, audio, musique, texte ou dialogue. Cela inclut des outils comme ChatGPT, Gemini, Stable Diffusion, Midjourney, Suno, et d’autres encore.

L’entreprise laisse en revanche (pour le moment) la porte ouverte aux jeux dont le code a été généré en partie par IA, par exemple pour le déboggage. Cela sera indiqué dans la fiche du jeu, afin que le joueur puisse décider en toute conscience d’acheter le titre ou pas.

Panic ajoute que cette nouvelle politique est en « discussion constante » et pourra évoluer à l’avenir. Elle ne concerne pas les fonctions développées pour les comportements en jeu, comme l’IA des ennemis par exemple. Les jeux déjà présents dans Catalog et qui utilisent l’IA générative pour leurs assets restent disponibles, mais ils présenteront une alerte sur leur fiche.

Les développeurs devront renseigner leur usage de l’IA générative dans les jeux, via un questionnaire. Si la question n’a pas de réponse, ce sera indiqué dans la fiche (« Le développeur de ce jeu n’a pas communiqué sur son utilisation de l’IA générative »). Panic prend là une position plus radicale que d’autres boutiques de jeu. Depuis 2024, Steam exige des développeurs qu’ils indiquent s’ils utilisent l’IA générative, en particulier lorsque celle-ci sert à produire des contenus visibles par les joueurs.

Ces informations sont présentes dans la boutique, mais il n’est pas question d’interdire les jeux dont des assets ont été générés par IA. Il semble que la clientèle du Playdate – surtout composée d’amateurs de jeux indés – est plus sensible à ces questions qu’ailleurs. L’an dernier, un des jeux de la « saison 2 » du Playdate (une sélection de nouveautés fournies sur une base hebdomadaire) avait fait polémique : le développeur s’était servi de ChatGPT pour du texte.

La controverse a poussé Panic à mettre en place sa nouvelle politique. La saison 3, qui a été annoncée jeudi dernier, ne contiendra aucun jeu intégrant des contenus générés par IA. Pour autant, il reste possible de contourner la boutique, puisque le sideloading est possible. Les développeurs qui veulent proposer des jeux générés par IA peuvent continuer à le faire… mais ils n’auront plus accès à Catalog.

Après le code, Claude génère des interfaces

Les designers d’interface qui se pensaient à l’abri du tsunami de l’IA générative peuvent trembler. Anthropic a en effet présenté Claude Design, un nouvel outil encore à l’état expérimental, qui génère des interfaces à partir d’une requête texte. Cela peut être pour une application, un site web, une présentation, des assets pour réseaux sociaux, des visuels pour une campagne, etc.

Claude, comme d’autres IA génératives, peut déjà générer et modifier des interfaces depuis longtemps, dont le design « par défaut » était facilement repérable. La différence ici est de prendre l’utilisateur davantage par la main en lui permettant de « tweaker » l’interface dans son ensemble ou de modifier certaines parties plus facilement.

L’entreprise donne un exemple parlant : « prototype une application mobile de méditation apaisante. Elle doit avoir une typographie douce, des couleurs subtiles inspirées de la nature, et une interface épurée ». La première version de l’interface générée par Claude peut ensuite être affinée en approfondissant la conversation avec le bot, avec les commentaires intégrés, ou en jouant avec des curseurs personnalisés. Claude Design peut également appliquer à chaque projet l’ensemble des règles graphiques, des couleurs, des typos, des composants d’interface et les bonnes pratiques de l’équipe.

Claude Design se destine principalement aux créateurs d’entreprises, aux chefs produit et aux responsables marketing pour créer et partager des idées de design. Sans formation, il est parfois difficile, voire intimidant, de se lancer tout seul dans l’UI. L’outil permet aussi de multiplier les itérations et de tester des versions.

Ce nouvel outil semble concurrencer frontalement Canva, mais il s’agit plutôt d’un complément. Il est d’ailleurs possible d’exporter les créations de Claude Design dans Canva, mais aussi en PDF ou PPTX (PowerPoint). L’annonce a néanmoins eu un impact à la baisse pour les actions d’Adobe et surtout de Figma, un atelier de création d’interfaces d’apps, de sites web ou de logiciels plus complet que Canva.

Claude Design, qui s’appuie sur Opus 4.7 est proposé aux clients Pro, Max, Team et Enterprise. Il complète d’autres services orientés vers les entreprises et les organisations, à l’instar de Claude Cowork, un agent pour traiter des tâches de bureau à sa place.

Mozilla drague les entreprises avec un client IA open source, Thunderbolt

MZLA, la filiale de Mozilla en charge du développement du logiciel de messagerie Thunderbird depuis 2020, se lance sur le terrain de l’intelligence artificielle avec l’annonce d’un client open source dédié, baptisé Thunderbolt. Conçu pour fonctionner en adéquation avec le framework (lui aussi open source) Haystack, Thunderbolt offre une porte d’entrée multiplateforme (des applications natives macOS, Windows, Linux, iOS et Android sont prévues) vers l’infrastructure IA de l’entreprise, que cette dernière soit opérée en local (on premises) ou souscrite chez l’un des grands noms du secteur.

Thunderbolt, dont le code est déjà disponible sur GitHub, se présente donc selon MZLA comme un « client d’IA souverain qui permet le chat, la recherche, l’automatisation et les flux de travail multi-appareils via une interface auto-hébergée et extensible ». L’architecture est décrite comme pensée avant tout pour le local et surtout agnostique en matière de grand modèle de langage (LLM), avec prise en charge Claude, GPT, Mistral, et OpenRouter, via Model Context Protocol (MCP) et Agent Client Protocol (ACP).

« Vous devrez ajouter vos propres fournisseurs de modèles ; nous ne proposons pas encore de point d’accès public pour l’inférence. Nous recommandons l’utilisation de Thunderbolt avec Ollama ou llama.cpp pour une inférence locale gratuite. Vous pouvez également ajouter des clés API pour tout fournisseur de modèles compatible avec OpenAI dans les paramètres », prévient MZLA.

Thunderbolt est l’interface proposée par MZLA pour donner accès aux services IA internes à l’entreprise – crédit MZLA

OpenAI : trois départs successifs après l’arrêt de Sora

Alors qu’OpenAI a abandonné Sora le mois dernier, le responsable du projet en interne, Bill Peebles, a annoncé son départ de l’entreprise.

« Sora était un projet qui n’aurait pu voir le jour nulle part ailleurs qu’à OpenAI, et c’est pour cette raison que j’aimerai toujours profondément cet endroit », affirme-t-il dans un long message posté sur X vendredi 17 avril. « OpenAI fait preuve d’une grande tolérance envers les projets ambitieux et farfelus, mais dès juillet 2023, beaucoup doutaient qu’il fût possible de parvenir à une génération de plusieurs plans en haute définition 1080p en moins d’un an, compte tenu de l’état actuel du secteur de la vidéo dans son ensemble. Nous y sommes parvenus sept mois plus tard », ajoute-t-il, même si le service a été arrêté un an après.

Le même jour, le responsable de « OpenAI for Science » Kevin Weil a aussi annoncé qu’il partait. Son service, qui avait lancé l’éditeur de LaTex Prism et le modèle GPT‑Rosalind, est dissous et sera redispatché dans d’autres équipes, a-t-il annoncé sur X.

Enfin, Srinivas Narayanan, le responsable technique des applications B2B d’OpenAI les a suivis le lendemain. « Diriger l’équipe d’ingénierie B2B a été un immense privilège. Compte tenu des lancements de produits récents et à venir, j’ai estimé que le moment était venu de prendre du recul », affirme-t-il de son côté.

Ces départs suivent l’annonce d’une réorganisation agitée chez OpenAI à la veille d’une possible entrée en bourse dans l’année.

Victime d’une intrusion, Vercel évoque un vol d’identifiants via un outil IA tierce partie

Vercel et sa plateforme permettant de déployer une application web en quelques clics ont été victimes d’un incident de sécurité, signalé par l’entreprise dimanche 19 avril.

« Nous avons initialement identifié un nombre limité de clients dont les identifiants Vercel avaient été compromis. Nous avons contacté ces clients et leur avons recommandé de renouveler immédiatement leurs identifiants », indique l’entreprise, selon qui les personnes qui n’ont pas été contactées n’ont donc a priori pas d’inquiétude à avoir.

Vercel invite tout de même ses utilisateurs à vérifier l’activité de leur compte et renouveler leurs variables d’environnement pendant que ses équipes poursuivent leurs investigations en interne. Vercel rappelle à ce propos que ses outils permettent de qualifier une variable de sensible, de façon à la stocker sans qu’il soit possible de la lire.

Et c’est justement là que le bât aurait blessé :

« L’incident a débuté par une compromission de Context.ai, un outil d’IA tiers utilisé par un employé de Vercel. L’attaquant a exploité cet accès pour prendre le contrôle du compte Google Workspace Vercel de l’employé, ce qui lui a permis d’accéder à certains environnements et variables d’environnement Vercel qui n’étaient pas marqués comme sensibles. »

En attendant de mesurer les répercussions exactes sur les clients et utilisateurs de Vercel, l’incident illustre le risque supplémentaire lié à l’intégration d’outils d’IA tierce partie dans les processus de développement et de déploiement.

Vercel alerte sur une intrusion causée, a priori, par une double erreur de paramétrage liée à un outil IA non déclaré.

« Notre enquête a révélé que l’incident provenait d’un petit outil d’IA tiers dont l’application Google Workspace OAuth a fait l’objet d’une compromission plus large, affectant potentiellement ses centaines d’utilisateurs dans de nombreuses organisations », alerte à ce sujet Vercel.

Context, qui propose des services permettant d’interfacer des agents IA avec les ressources internes de l’entreprise, confirme avoir été victime d’une intrusion en mars dernier, qui aurait permis à l’attaquant de compromettre certains jetons OAuth utilisé par ses clients.

« Nous avons également appris qu’il semble avoir utilisé un jeton OAuth compromis pour accéder à l’espace de travail Google de Vercel. Bien que Vercel ne soit pas client de Context, il apparaît qu’au moins un employé de Vercel s’est inscrit à la suite AI Office avec son compte professionnel Vercel et a accordé les autorisations « Tout autoriser ». »

[MàJ] Fuite de données à France Titres : au moins 11,7 millions de comptes touchés

Le site du gouvernement français vous permettant d’effectuer vos démarches de passeport, carte d’identité, permis de conduire et carte grise a subi un « incident de sécurité », selon un email que le service a envoyé à des utilisateurs.

Dans son communiqué de presse publié ce mardi 21 avril, le ministère de l’Intérieur annonce le chiffre de 11,7 millions de comptes concernés.

L’agence nationale des titres sécurisés (ANTS) qui le gère s’en est aperçue le mercredi 15 avril dernier. Elle leur indique que les données personnelles concernées sont, entre autres :

  • « les données relatives à [leur] état civil (nom et prénom) ;
  • les identifiants de connexion (identifiant de compte et adresse mail) ;
  • et d’autres données présentes uniquement dans certains comptes (adresse postale et numéro de téléphone). »

L’ANTS assure qu’elle a pris « toutes les mesures nécessaires » depuis et que « les données transmises dans le cadre de vos démarches de passeport, carte d’identité, permis de conduire et carte grise (numéro de demande, statut de demande, pièces justificatives, photographies) ne sont, par ailleurs, pas concernées par cet incident ».

Le communiqué de presse envoyé par le ministère de l’Intérieur à l’AFP détaille un peu plus : « sous réserve des investigations en cours, s’agissant des comptes particuliers, les données à caractère personnel concernées seraient des données d’identification : identifiant de connexion, civilité, nom, prénoms, adresse électronique, date de naissance, identifiant unique du compte ; et, le cas échéant, d’autres données qui ne sont pas systématiquement présentes dans les comptes : adresse postale, lieu de naissance, téléphone ».

Il précise aussi que « la divulgation des données ne concerne pas les données complémentaires transmises dans le cadre de la réalisation des différentes démarches, telles que les pièces jointes. Ces données personnelles ne permettent pas d’accès illégitime au compte du portail ».

L’agence ajoute dans son email avoir notifié la CNIL de l’incident et que le ministère de l’Intérieur a transmis un signalement à la Procureure de la République de Paris en application de l’article 40 du code de procédure pénale en vue de l’ouverture d’une enquête.

Elle affirme aux utilisateurs qu’ils n’ont aucune démarche à effectuer mais leur conseille de redoubler de vigilance concernant les tentatives de phishing.

Le communiqué du ministère explique aussi que les investigations doivent encore déterminer précisément l’origine de l’incident ainsi que son ampleur.

En septembre dernier, l’ANTS avait enquêté sur une fuite de données revendiquée par des pirates, sans trouver de trace d’intrusion tout en affirmant que l’échantillon mis en ligne présentait de « nombreuses incohérences ». France Titres ajoutait que, « en tant qu’opérateur du ministère de l’Intérieur manipulant des données sensibles, l’ANTS fait l’objet de mesures de sécurité renforcées et d’une vigilance permanente des services de l’État contre toute intrusion, physique ou informatique ». Cette fois, c’est officiel, les défenses sont tombées.

Ce n’est malheureusement pas la première fois de l’année qu’une institution française subit une fuite de ce genre. Ainsi l’Urssaf a subi une fuite en janvier concernant 12 millions de victimes potentielles, des données du CNRS ont été récupérées en février dernier, celles du système d’information sur les armes du ministère de l’Intérieur en mars…

Spliiit ne peut plus partager d’abonnements Ligue 1 +

Spliiit, le service qui permet de partager à plusieurs le prix d’un abonnement à un service en ligne, enfreint les conditions générales d’utilisation de Ligue 1 +. Saisi par la Ligue de football professionnel (LFP), le tribunal judiciaire de Paris a condamné la plateforme par une ordonnance de référé rendue le 15 avril.

Illustration : Flock

Les CGU de Ligue 1 +, le service de streaming mis en place l’an dernier par LFP Media, interdisent explicitement tout partage d’abonnement en dehors du foyer sur des plateformes tierces. Spliiit a causé un « préjudice commercial direct » à Ligue 1 + en se rendant complice de la violation de ces obligations contractuelles, d’après le juge. Le service de partage d’abonnements garantissait « faussement » la légalité de son offre Ligue 1 +.

Les CGU de Ligue 1 +précisent en effet qu’« un compte Abonné LIGUE 1 + ne peut faire, en aucun cas, partie d’une offre d’abonnement collaboratif à titre commercial, et/ou distribuée par un service tiers. » L’abonnement standard revient à 14,99 euros par mois, ce qui autorise deux écrans en simultané dans un même foyer… ou pas, car sur X (anciennement Twitter), le service précisait que ce forfait ne présentait pas de notion de foyer.

Pour ne rien arranger, le juge a aussi retenu l’existence d’une « contrefaçon vraisemblable » de la marque Ligue 1 + pour promouvoir son service. Ce faisant, l’entreprise porte atteinte aux droits de propriété intellectuelle du groupe LFP. Par conséquent, Spliiit a interdiction de proposer ce service ou d’utiliser la marque Ligue 1 +, sous peine d’une astreinte de 300 euros par jour de retard. Le service doit également supprimer toute offre de partage d’abonnement à Ligue 1 +, là aussi sous la même astreinte (de fait, c’est le cas sur le site web).

Enfin, Spliiit est condamnée aux entiers dépens de l’instance, autrement dit elle doit régler l’ensemble des frais liés à la procédure judiciaire. Le service de partage d’abonnements affirme dans sa FAQ respecter les termes et conditions des plateformes : « Le partage d’abonnement est légal tant qu’il respecte les règles d’utilisation des plateformes et Spliiit garantit une utilisation conforme et sécurisée. » Ce qui n’était manifestement pas le cas pour Ligue 1 +, d’après la justice.

En septembre dernier, dans le cadre d’une autre procédure judiciaire débutée en 2021, Spliiit se disait prête à discuter avec Apple, Disney et Netflix, regroupés au sein de l’Alliance for Creativity and Entertainment (ACE). La justice a demandé une médiation entre toutes les parties.

Pour la LFP, cette condamnation est « une étape importante dans la protection de la valeur des droits du football professionnel français et de ses contenus exclusifs ». La Ligue est particulièrement engagée dans ce domaine. On l’a encore vu le mois dernier, avec une condamnation ayant visé des utilisateurs finaux de boîtiers IPTV par le parquet d’Arras. Ces sanctions s’ajoutent aux nombreuses actions en justice menées par la Ligue ces dernières années pour faire bloquer les sites web diffusant illégalement des compétitions, y compris par les VPN.

OpenSSL passe en version 4.0, avec Encrypted Client Hello (ECH)

Quatre ans et demi après la version 3.0, OpenSSL passe en version 4.0. Attention, ce n’est pas une version LTS, elle n’est donc supportée que jusqu’en mai 2027, contrairement aux moutures 3.0 et 3.5 qui sont respectivement prises en charge jusqu’en septembre 2026 et avril 2030.

La prochaine LTS est prévue pour avril 2027, le temps certainement de stabiliser les fonctionnalités et de s’assurer d’avoir une base solide.

La liste des changements et des nouveautés est disponible sur GitHub. OpenSSL 4.0 prend en charge Encrypted Client Hello (RFC 9849) qui « permet aux clients de chiffrer le Client Hello avec le serveur TLS », renforçant ainsi la confidentialité. Sur son blog, le spécialiste des réseaux Stéphane Bortzmeyer explique l’intérêt et le fonctionnement de cette fonctionnalité :

« Quand un client TLS se connecte, il envoie en clair au serveur le nom de domaine utilisé, le serveur ayant besoin de cette information pour choisir le bon certificat qui servira pour choisir les paramètres de chiffrement qui protégeront le reste de la session. Cet envoi en clair pose un problème de vie privée, et est parfois utilisé pour la censure, par exemple en Russie. Il faut donc chiffrer ce nom annoncé, ce SNI. Mais avec quelle clé, puisqu’on a besoin du nom pour avoir une clé ? Ce RFC fournit un mécanisme pour cela, ECH (Encrypted Client Hello), qu’on pourrait traduire par « salutation chiffrée » ».

Parmi les autres nouveautés, « la prise en charge de la RFC 8998, de l’algorithme de signature sm2sig_sm3, du groupe de clés curveSM2 et du groupe post-quantique curveSM2MLKEM768 ». Il est aussi question de la fin du support du Client Hello SSLv2 et de SSLv3 (qui était déprécié et désactivé par défaut depuis presque 10 ans).

Pegasus : la justice française a auditionné deux des cofondateurs de NSO

Deux fondateurs de NSO Group, la société israélienne qui a créé le logiciel espion Pegasus (passée sous pavillon étatsunien en novembre dernier), ont été entendus dans le cadre de la procédure judiciaire ouverte sur la surveillance de plusieurs téléphones portables français. Celle-ci avait été lancée en juillet 2022 suite à la plainte déposée par Reporters sans frontières après les révélations faites par le consortium Pegasus Project réunis par l’ONG Forbidden Stories en 2021.

Shalev Hulio, l’ancien CEO de NSO Group a été entendu par le juge Serge Tournaire le 29 janvier dernier et l’autre cofondateur, Omri Lavie a été auditionné en février. Les deux hommes ont déjà quitté l’entreprise. « Nous vendons la boîte noire au client et nous n’y avons pas accès », a assuré Shalev Hulio au juge, selon Médiapart, tout en reconnaissant que l’entreprise pouvait accéder aux logs des activités de ses clients dans certaines conditions et qu’elle pouvait suspendre l’accès en cas de violation de ses conditions d’utilisation.

NSO Group
NSO Group

Serge Tournaire a obtenu de la Direction générale de la Sécurité extérieure (DGSE) qu’elle verse au dossier une note datée de novembre 2022 résumant ses connaissances sur l’entreprise et son logiciel espion. Elle y explique « le fait que NSO, et éventuellement Israël, connaît les pays ciblés par ses clients » et « estime hautement probable que NSO, et éventuellement Israël, connaissent les téléphones ciblés par son outil, voire les données qui en sont exfiltrées ».

En France, 23 personnes ont déposé plainte sur le sujet dont l’ancienne ministre des Armées Florence Parly mais aussi des journalistes de Médiapart comme Edwy Plenel et Lénaïg Bredoux ou l’ancienne journaliste du Canard enchainé Dominique Simonnot. Selon Médiapart, l’avocat d’Omri Lavie a affirmé au juge Tournaire qu’aucune personnalité française n’avait été espionnée à l’aide de Pegasus, défaussant la responsabilité d’espionnages évoqués dans la presse à des concurrents.

Les deux co-fondateurs ont été placés sous le statut de témoins assistés à l’issue de leur audition. Auprès de Médiapart, les avocats de plusieurs parties civiles, William Bourdon et Vincent Brengarth, considèrent ce placement comme « une avancée au regard de l’absence de coopération d’Israël et de l’opacité dans laquelle les faits se sont déroulés », tout en ajoutant qu’ « il est raisonnable de penser que le dossier est très loin d’être terminé. D’autres évolutions doivent être envisagées ».