La scientifique en chef de Microsoft Research rejette les préoccupations selon lesquelles la fonction d'IA Windows Recall est un cauchemar pour la vie privée

Et une mine d'or pour les pirates informatiques

Jaime Teevan, scientifique en chef de Microsoft Research, rejette les problèmes de confidentialité des données et de protection de la vie privée relevés par les utilisateurs au sujet de la fonction d'IA Windows Recall des PC Copilot+. Elle a défendu l'idée derrière la fonctionnalité, affirmant que l'IA générative permet à Microsoft de redéfinir la façon dont l'entreprise collecte, traite et exploite les données personnelles des utilisateurs. Elle a de nouveau précisé que les données collectées par Recall ne sont pas envoyées sur le cloud, mais stockées localement sur la machine de l'utilisateur. Toutefois, son intervention reste floue et ne convainc pas grand monde.

Microsoft a annoncé la fonction Recall lors de l'événement Build le mois dernier. Recall est une fonction basée sur l'IA pour les PC Copilot+. Elle suit toutes les activités d'un PC Windows afin de faciliter les recherches ultérieures en utilisant le langage nature. Pour ce faire, Recall est censée capturer les données de toutes les applications, sauf si vous en excluez une, en prenant une série de captures d'écran et en stockant ces interactions dans une base de données. La fonction Recall s'exécute localement. Elle peut fonctionner sans connexion Internet et même lorsque vous n'êtes pas connecté à votre compte Microsoft.

Mais Recall est décriée par les experts en sécurité. Si quelqu'un d'autre que vous accède aux données collectées par Recall, les conséquences pourraient être désastreuses. Cela peut vous sembler familier, Recall est remarquablement similaire à la fonctionnalité Timeline de Windows 10, qui a échoué et a été mise de côté. Mais contrairement à Timeline, Recall ne se contente pas de restaurer une version de vos fichiers de bureau, il utilise l'IA pour vous ramener à ce moment, en ouvrant même les applications pertinentes. Un pirate qui parvient à trouver et exploiter une faille dans Recall pourrait causer des dégâts énormes.


Jaime Teevan de Microsoft ne partage toutefois pas le même avis. Elle a éludé habilement la question lorsqu'elle a été interrogée sur les préoccupations soulevées par Recall en matière de sécurité et de protection de la vie privée. Teevan s'est exprimée sur la question mercredi lors d'un entretien avec Erik Brynjolfsson, directeur du Stanford Digital Economy Lab, à l'occasion du cinquième anniversaire de la division "Institute for Human-Centered Artificial Intelligence" de l'université américaine. Brynjolfsson a notamment souligné que la fonctionnalité Recall a fait l'objet d'une mauvaise presse depuis son annonce le mois passé.

Brynjolfsson a ensuite encouragé Teevan à aborder ces questions : « parlez-nous donc des avantages et des inconvénients de l'utilisation de toutes ces données, des risques qu'elle engendre et des opportunités qu'elle offre ». Bien que la question semble simple et facilement compréhensible, Teevan y a répondu en restant vague et évasive. Elle a déclaré :

La réponse de Teevan est vague et n'est pas très utile. Ne se laissant pas décourager par le refus de Teevan de reconnaître pourquoi Recall a touché un point sensible, Brynjolfsson a approfondi la question : « la mémoire est-elle stockée localement ? Supposons que j'active Recall, et je ne sais pas si je peux le faire, mais quand vous avez quelque chose comme ça à disposition, je m'inquiéterais de voir tous mes fichiers personnels partir dans le cloud, chez Microsoft ou ailleurs. Est-ce que vous les gardez localement ? ». Comme indiqué plus haut, Microsoft affirme que la fonctionnalité traite les données localement.

Teevan a répondu comme suit : « oui, oui, il s'agit d'une chose fondamentale à laquelle nous tenons beaucoup en tant qu'entreprise, à savoir la protection des données. Recall est donc une fonction qui permet de capturer des informations. Il s'agit d'une fonctionnalité locale de Windows, rien ne va dans le cloud, tout est stocké localement ». C'était tout. La scientifique de Microsoft a répondu à la question comme si l'enregistrement continu des activités numériques d'une personne à travers une série de captures d'écran et l'établissement journaux d'activité n'avait aucune incidence négative sur la sécurité ou la vie privée.

Même si les données sont stockées et traitées localement, la réponse de Teevan ne semble pas trop rassurante à la lumière de la publication de l'outil "TotalRecall" du chercheur en sécurité Alex Hagenah. Ce code peut extraire et afficher des données de la base de données SQLite non chiffrée de Recall, dans laquelle la fonctionnalité stocke des instantanés de l'activité de l'utilisateur. Des questions plus difficiles n'ont malheureusement pas été soulevées lors de l'entretien, et Teevan n'a certainement pas profité de l'occasion pour s'attaquer de manière proactive à certaines des attaques dont Recall a fait l'objet ces derniers temps.

Le souci, c'est que Recall représente une épée à double tranchant, avec d'un côté la commodité d'une recherche surpuissante de tout l'historique d'utilisation de votre PC, et de l'autre le spectre de toutes ces données tombant entre les mains d'un pirate informatique. Dire que la mise en œuvre de la fonction d'IA soulève de nombreuses questions en matière de sécurité et de respect de la vie privée serait un euphémisme. Selon Kevin Beaumont, expert en sécurité, Recall aura une utilité limitée pour la plupart des utilisateurs, mais le risque de sécurité est si important qu'elle pourrait entraîner l'arrêt de la distribution des PC Copilot+.

« Je pense qu'il s'agit d'une fonction intéressante, entièrement optionnelle, avec une base d'utilisateurs initiale restreinte, qui nécessiterait une communication, une cybersécurité, une ingénierie et une mise en œuvre incroyablement prudentes. Copilot+ Recall n'en dispose pas. Le travail n'a pas été fait correctement pour l'intégrer, c'est clair ». Certaines personnes s'inquiètent déjà des implications juridiques. Les avocats pourraient utiliser les données collectées par Recall contre quelqu'un (en accédant éventuellement à toutes sortes de messages passés, même ceux qui sont de type suppression automatique après lecture).

Face à la controverse, de nombreux guides expliquant comment désactiver la fonction ont déjà été publiés en ligne avant le lancement de la fonctionnalité. La version courte : allez dans les paramètres de Windows, sélectionnez Confidentialité et sécurité, puis Recall & Snapshots et utilisez ces paramètres pour désactiver la fonction ou supprimer toutes les données qui ont déjà été collectées.

Et vous ?

Quel est votre avis sur le sujet ?
Que pensez-vous de la fonctionnalité Windows Recall des PC Copilot+ ?
En quoi cette fonctionnalité peut-elle être utile ? Quid des risques de sécurité qu'elle introduit ?
Microsoft devrait-il abandonner cette fonctionnalité ? L'entreprise peut-elle rendre Recall plus sûre ?

Voir aussi

Recall de Windows 11 donne la possibilité à des tiers de voler tout ce que vous avez tapé ou regardé sur votre PC, d'après les tests effectués par un chercheur en sécurité

Un développeur prouve que la fonctionnalité d'IA Windows Recall n'a pas besoin d'un PC Copilot+ équipé d'un matériel NPU pour fonctionner, malgré les recommandations systèmes de Microsoft

Microsoft lance de nouveaux PC Copilot+ alimentés par l'IA, qui suivent et recherchent toutes vos activités. L'entreprise précise que de nombreuses tâches d'IA fonctionnent sans faire appel au cloud