Executive (dis)order

Entre gouvernement Trump et manque d’efficacité du RGPD, noyb tire la sonnette d’alarme
Photo de rc.xyz NFT gallery sur Unsplash

En moins d’une semaine, l’association noyb a enchainé sur deux sujets : les dangers que fait courir le nouveau gouvernement Trump sur les échanges de données avec les États-Unis et le trop faible nombre d’amendes pour les entreprises contrevenant au RGPD.

Le 23 janvier, l’association noyb (none of your business, « ce ne sont pas vos affaires ») alertait sur les risques posés par certains ordres exécutifs signés par Donald Trump, fraichement arrivée à la Maison-Blanche. L’un d’eux engendre le réexamen de toutes les décisions prises en matière de cybersécurité nationale prise durant le mandat de Joe Biden au cours des 45 jours suivants.

Un maillon important du Data Privacy Framework

Parallèlement, les membres démocrates du PCLOB (Privacy and Civil Liberties Oversight Board) ont été démis de leurs fonctions et leurs comptes de messagerie bloqués. En conséquence, souligne l’association, le Board ne peut plus fonctionner correctement, car le nombre minimal de membres nécessaire n’est plus atteint.

Or, le PCLOB est un maillon essentiel du Data Privacy Framework. Ce cadre établit une adéquation entre les législations européenne et américaine sur la protection de la vie privée. Il permet l’envoi des données personnelles européennes vers les serveurs des sociétés américaines, en partant du principe que les protections y sont équivalentes. Le DPF, qui avait pris la suite des Safe Harbor et Privacy Shield après leur invalidation (arrêts Schrems I et II), est depuis sous le feu de critiques nourries, notamment de noyb et du député Philippe Latombe (MoDem).

« Cet accord a toujours été construit sur du sable, mais le lobby des entreprises de l’UE et la Commission européenne le voulaient quand même. Au lieu d’une limitation juridique stable, l’UE a accepté des promesses exécutives qui peuvent être annulées en quelques secondes. Lorsque les premières vagues de Trump frappent cet accord, elles plongent rapidement de nombreuses entreprises de l’UE dans un vide juridique. Le PCLOB lui-même n’est qu’une pièce du puzzle et tant qu’il ne fonctionne que temporairement, on peut dire que l’accord n’est pas pire qu’avant. Toutefois, la direction prise dès la première semaine de la présidence Trump n’est vraiment pas bonne. Nous surveillons de près s’il s’agit d’un problème temporaire ou si le PCLOB est tué pour de bon », a déclaré Maximilien Schrems.

L’Europe s’est appuyée sur « des vœux pieux »

Pour le fondateur de noyb, ces décisions viennent prouver le manque d’indépendance de la plupart des organes de contrôle américain : « Des domaines juridiques entiers sont simplement réglementés par des décrets présidentiels ». « Il y avait beaucoup de questions sur l’indépendance de ces mécanismes de contrôle. Malheureusement, il semble qu’ils ne résisteront peut-être même pas à l’épreuve des seuls premiers jours d’une présidence Trump. C’est la différence entre des protections juridiques solides en droit et des vœux pieux – la Commission européenne s’est uniquement appuyée sur des vœux pieux », a-t-il ajouté.

Pour Maximilien Schrems, le DPF pourrait ne pas survivre aux décisions prises dans les prochaines semaines. Si le DPF devait à son tour tomber, les entreprises et particuliers européens replongeraient dans l’incertitude juridique. L’Europe devrait alors replonger dans la négociation d’un cadre, face à des États-Unis désormais pilotés par une doctrine America First.

Bilan du RGPD ? Bof bof, selon noyb

Dans une communication ce matin, l’association profite aussi de la journée mondiale de la protection des données pour dresser un bilan du RGPD. Si le règlement « a inauguré une nouvelle ère », la réalité « est beaucoup plus sombre » sept ans plus tard.

[…]

Article complet : next.ink

S’ils pouvaient faire pareil avec les chansons à base d’autotune. :mrblue:

@Violence a dit dans Chronologie des médias : vers un statu quo pour les plateformes de streaming jusqu'en 2028 :

attendre 15 à 17 mois après une sortie en salle pour diffuser des films récents, sauf si un investissement conséquent est réalisé dans le cinéma français.

Perso j’appelle ça du racket, des méthodes de gangster, n’en déplaise au secteur franco-français…
On s’étonne après ça que le piratage fait toujours recette…

@mekas a dit dans 1fichier: La cour suprême confirme la condamnation :

Si mes souvenirs sont exacts, la cour de cassation ne juge que sur la forme, pas sur le fond.

la cour de cass juge uniquement des questions de droit. pas les faits donc, et ne sort jms de ses compétences d’attribution.
pour faire simple, elle vérifie si le droit est correctement appliqué.
Si ce n’est pas le cas, alors elle casse l’arrêt d’appel (d’où le nom^^), et renvoie l’affaire devant une autre cour d’appel qui sera chargée d’appliquer correctement le droit. (mais on ne revient pas sur les questions de fait, par exemple est-ce que machin était réellement tel jour à telle heure à tel endroit.

pas de compte micro$oft perso (pas fou)
mais pas le choix au taf ; donc… info bien utile, merci @Raccoon

@Violence il semblerait qu’il ne le cite à aucun moment, vu comme M6 et son “journaliste” s’est fait allumer sur X.

J’ai tenté le replay (j’ai que 7 jours) mais pas de trace du doc dans l’émission du 18/01 et M6 Replay n’acceptera pas mon IP suisse (par contre pour nous cibler pub aucun problème, je n’ai pas les mêmes pubs que toi (habitant en Suisse) par exemple) et je vais pas prendre un VPN juste pour cela.

Edit: il semblerait que ça soit possible en Suisse mais il faut s’inscrire :ahah: autant dire que ça sera sans moi.

La traduction FR est chaude ^^

M’enfin on comprend quand même hélas le très gros problème de sécurité et les répercussions que ça pourrait avoir.
Plutôt que de bombarder des sites, suffirait de les déconnecter. Plus rapide, moins cher.

C’est aussi pathétique que pour tous les objets de l’IoT… ces gens qui mettent des serrures connectées…
https://scholarvox.library.omneseducation.com/catalog/book/88953377?_locale=en

“IPTV et streaming illégal : les clubs de foot perdent plus de 200 millions d’euros chaque année”

Rhoo, les pauvre choux, ils perdent 200 millions sur les milliards qu’ils engrangent chaque année, vite il faut faire une pétition pour sauver ces riches ils ne pourront bientôt plus acheter ni caviar, ni champagne, ni putes de luxe, l’heure est grave.

“L’Europe exige la documentation interne de X pour comprendre ses algorithmes.”

Sérieux, quelle bande de clowns ces gens non élus de la Commission Européenne, ils croient vraiment que Musk va leur donner ses algorithmes ? J’aurais tout vu de la part de ces incompétents qui se prennent pour les rois du Monde alors que ce ne sont que des petites **** écrasées aussi bien par les Ricains, les chinois et les Russes. Ils ne veulent pas leur demander les secrets de fabrication des Tesla pendant qu’ils y sont ? Vivement que cette Europe dégage, et vite !

@michmich Pas très fruits exotiques, peut-être des Beedies ?

633d9ebe-fe84-44a0-b92f-b8373fa30098-Live Long & Prosper.jpg 

@duJambon a dit dans Suite aux menaces de Trump de bannir Tiktok, des milliers de jeunes Américains se réfugient... sur une autre app chinoise. :

Rappel: les choses deviennent ce que les gens en font 🙂

:capello: L’inverse est vrai aussi

Au lieu de se les faire piquer par des hackers, vaut mieux les vendre soi même… ça fait de la tune et pour le client, ça revient au même. :mouhaha:

Et pour les films muets comment ça se passe 😁 ?

@7cf148fd je parlais du fait que malgré tout ce qu’il a fait, en sortant de prison il était demandé de partout et à eu un beau parcours après

@Ashura a dit dans Modération : Meta laisse passer certaines insultes visant les femmes et personnes LGBT :

Apparemment la vérité dérange

Mais quelle vérité lol… Ça soule tt simplement… Il y a X pour tt ça…

Faut arrêter les prods

Comment détruire les meilleures solutions d’infrastructures virtualisées pour les nuls 😞

“Pas cher ma puce ! Pas cher ma puce !”

Après, ce qui doit être refourgué c’est les données à “calculer”.

“Pas cher mes datas européennes ! L’Afrique du nord est offert !”

Chaud

Le service a utilisé des API non documentées et d’autres astuces pour contourner les garde-corps de sécurité.

Microsoft accuse trois individus d’avoir mené un programme de « piratage en tant que service » conçu pour permettre la création de contenus nuisibles et illicites à l’aide de la plate-forme de l’entreprise pour les contenus générés par l’IA.

Les accusés basés à l’étranger ont développé des outils spécialement conçus pour contourner les garde-fous de sécurité érigés par Microsoft pour empêcher la création de contenus préjudiciables via ses services d’IA générative, a déclaré Steven Masada, avocat général adjoint de l’unité des crimes numériques de Microsoft. Ils ont ensuite compromis les comptes légitimes des clients payants. Ils ont combiné ces deux éléments pour créer une plateforme payante que les gens pourraient utiliser.

Un schéma sophistiqué

Microsoft poursuit également sept personnes qui, selon elle, étaient des clients du service. Les 10 accusés s’appellent John Doe car Microsoft ne connaît pas leur identité.

“Par cette action, Microsoft cherche à perturber un stratagème sophistiqué mis en œuvre par des cybercriminels qui ont développé des outils spécialement conçus pour contourner les garde-fous des services d’IA générative fournis par Microsoft et d’autres”, ont écrit les avocats dans une plainte déposée devant un tribunal fédéral de l’Est. District de Virginie et descellé vendredi.

Les trois personnes qui géraient le service auraient compromis les comptes de clients légitimes de Microsoft et auraient vendu l’accès à ces comptes via un site désormais fermé à l’adresse « rentry[.]org/de3u. Le service, qui a fonctionné de juillet à septembre dernier lorsque Microsoft a pris des mesures pour le fermer, comprenait « des instructions détaillées sur la façon d’utiliser ces outils personnalisés pour générer du contenu nuisible et illicite ».

Le service contenait un serveur proxy qui relayait le trafic entre ses clients et les serveurs fournissant les services d’IA de Microsoft, selon la poursuite. Entre autres choses, le service proxy utilisait des interfaces de programmation d’applications (API) réseau Microsoft non documentées pour communiquer avec les ordinateurs Azure de l’entreprise. Les requêtes résultantes ont été conçues pour imiter les requêtes API légitimes du service Azure OpenAPI et ont utilisé des clés API compromises pour les authentifier.

Les avocats de Microsoft ont inclus les images suivantes, la première illustrant l’infrastructure réseau et la seconde affichant l’interface utilisateur fournie aux utilisateurs du service des défendeurs :

fa0dce74-8814-49bc-a971-b618170cdc45-image.png

cfcaf97e-6473-4770-8c96-835552f4068f-image.png

Microsoft n’a pas précisé comment les comptes clients légitimes avaient été compromis, mais a déclaré que des pirates informatiques étaient connus pour créer des outils permettant de rechercher des référentiels de code pour les développeurs de clés API incluses par inadvertance dans les applications qu’ils créent. Microsoft et d’autres conseillent depuis longtemps aux développeurs de supprimer les informations d’identification et autres données sensibles du code qu’ils publient, mais cette pratique est régulièrement ignorée . L’entreprise a également évoqué la possibilité que les informations d’identification aient été volées par des personnes ayant obtenu un accès non autorisé aux réseaux sur lesquels elles étaient stockées.

Microsoft et d’autres interdisent d’utiliser leurs systèmes d’IA générative pour créer divers contenus. Le contenu interdit comprend les éléments qui présentent ou promeuvent l’exploitation ou les abus sexuels, sont érotiques ou pornographiques, ou attaquent, dénigrent ou excluent des personnes en fonction de leur race, origine ethnique, origine nationale, sexe, identité de genre, orientation sexuelle, religion, âge, statut de handicap ou caractéristiques similaires. Il n’autorise pas non plus la création de contenu contenant des menaces, des intimidations, la promotion de violences physiques ou d’autres comportements abusifs.

En plus d’interdire expressément une telle utilisation de sa plate-forme, Microsoft a également développé des garde-fous qui inspectent à la fois les invites saisies par les utilisateurs et le résultat qui en résulte pour détecter les signes que le contenu demandé viole l’une de ces conditions. Ces restrictions basées sur le code ont été contournées à plusieurs reprises ces dernières années grâce à des piratages, certains inoffensifs et réalisés par des chercheurs et d’autres par des acteurs malveillants.

Microsoft n’a pas expliqué précisément comment le logiciel des accusés aurait été conçu pour contourner les garde-fous créés par l’entreprise.

Les services d’IA de Microsoft déploient des mesures de sécurité strictes, notamment des mesures d’atténuation de sécurité intégrées au niveau du modèle, de la plate-forme et des applications d’IA. Comme le prétendent nos documents judiciaires dévoilés aujourd’hui, Microsoft a observé un groupe d’acteurs menaçants basé à l’étranger développer des logiciels sophistiqués qui exploitaient les informations d’identification de clients exposées extraites de sites Web publics. Ce faisant, ils ont cherché à identifier et à accéder illégalement à des comptes dotés de certains services d’IA générative et à modifier délibérément les capacités de ces services. Les cybercriminels ont ensuite utilisé ces services et revendu l’accès à d’autres acteurs malveillants avec des instructions détaillées sur la façon d’utiliser ces outils personnalisés pour générer du contenu nuisible et illicite. Dès sa découverte, Microsoft a révoqué l’accès des cybercriminels, mis en place des contre-mesures et amélioré ses protections pour bloquer davantage de telles activités malveillantes à l’avenir.

Le procès allègue que le service des accusés a violé le Computer Fraud and Abuse Act, le Digital Millennium Copyright Act, le Lanham Act et le Racketeer Influenced and Corrupt Organizations Act et constitue une fraude électronique, une fraude aux appareils d’accès, une intrusion de droit commun et une ingérence délictuelle. La plainte vise une injonction interdisant aux défendeurs de se livrer à « toute activité dans le cadre des présentes ».

Source: https://arstechnica.com/security/2025/01/microsoft-sues-service-for-creating-illicit-content-with-its-ai-platform/