Recall : l'IA reste une vilaine curieuse malgré les précautions de Microsoft

Tiens tiens, comme c’est bizarre… Recall n’est finalement pas si sage que ça. Vous êtes surpris ? Non ? Nous non plus. Mais ça commence à faire beaucoup.

Microsoft avait pourtant promis. Fustigée pour son manque initial sécurité et sa propension à faire fi des questions de sécurité, Recall était repassée par la case développement, avant de finalement commencer à débarquer sur les PC Copilot+, via le canal Dev du programme Windows Insider. Et considérant la découverte récente de nos confrères et consœurs de Tom’s Hardware, on croise tous et toutes les doigts pour qu’elle y reste.

Quand l’IA oublie d’être intelligente

C’est ce qu’on pourrait appeler un bad buzz en bonne et due forme. Désormais censée intégrer des filtres intelligents pour ne pas capturer de données sensibles affichées à l’écran, Recall s’en fiche et continue d’enregistrer les informations qu’elle veut.

C’est en tout cas ce que l’on pourrait déduire des récents tests menés par la rédaction de Tom’s Hardware. Au cours d’une prise en main approfondie, il s’avère que Recall n’a eu aucun scrupule à capturer des numéros de carte bancaire et des identifiants personnels saisis dans le Bloc-Notes, malgré des indications explicites sur leur nature sensible. Même constat avec un numéro de sécurité social associé à un nom et un prénom dans un formulaire de demande de prêt au format PDF, directement rempli dans Microsoft Edge.

Par acquit de conscience, le journaliste Aviram Piltch, auteur de la découverte, s’est même astreint à développer sa propre page HTML, à laquelle il a intégré la mention explicite « Entrez votre numéro de carte de crédit ci-dessous ». Là encore, Recall n’a pas daigné respecter le contrat, et a sauvegardé un instantané du formulaire rempli, données de CB comprises. Un couac qui fait tache, surtout après tant d’effort et de justifications fournis par Redmond.

Contactée par Tom’s Hardware, Microsoft, dans un exercice d’auto-citation parfaitement exécuté, a préféré pointer vers son blog : « Nous continuerons d'améliorer cette fonctionnalité, et si vous trouvez des informations sensibles qui doivent être filtrées, en fonction de votre contexte, de votre langue ou de votre zone géographique, veuillez nous en informer via le Hub de commentaires ». Bien tenté, mais pas satisfaisant.

Des bugs, des failles… et toujours aucune leçon tirée

Ce genre de faux pas, Microsoft aurait dû l’anticiper. Recall n’en est pas à sa première polémique, et pourtant, les mêmes erreurs semblent se répéter. Lors de son premier passage éclair sur les PC Insider, l’outil avait été retiré en urgence : les captures d’écran n’étaient ni chiffrées ni protégées, et les données sensibles se retrouvaient exposées à tous les vents. Redmond avait alors promis des corrections. Cette nouvelle version, équipée de filtres anti-intrusion et d’un chiffrement renforcé, devait être la réponse attendue. Manifestement, ce n’est toujours pas le cas.

Car même si les données capturées sont théoriquement illisibles hors de l’application Recall, le problème n’est pas uniquement technique. C’est une question de philosophie. Centraliser des informations aussi sensibles que des numéros de cartes bancaires, des mots de passe ou des formulaires complets dans un espace numérique unique ressemble moins à une innovation qu’à une ouverture de surface d’attaque potentielle.

Et encore, on parle là de la partie émergée de l’iceberg. Les tests de Tom’s Hardware ont également mis en évidence une faille d’accès : Recall, bien que protégé par Windows Hello, peut être manipulé via des outils de contrôle à distance comme TeamViewer. En d’autres termes, n'importe qui disposant d’un accès distant à votre PC n’aurait aucun mal à accéder à vos instantanés et à consulter vos moindres faits et gestes.

Alors oui, Recall est toujours en phase d'affinage, et Microsoft invite les testeurs à remonter ces problèmes via le Feedback Hub. Mais à peut-on décemment demander à ses utilisateurs et utilisatrices de jouer les cobayes avec des données aussi sensibles ? Une stratégie qui, pour un outil aussi intrusif, ressemble plus à un coup de poker qu’à une solution sérieuse.

Source : Tom's Hardware