Dans cet article Dans cet article
- Quatre mois de consignes internes, de l’été à octobre
- La promesse affichée face à la pratique décrite
- Pourquoi le code généré inquiète davantage dans un service chiffré
- Ce que Proton répond, et ce qu’il ne dit pas
- Les vérifications à faire si vous êtes abonné
- Un test grandeur nature pour les promesses de confidentialité
Le 29 octobre, le site d’enquête 404 Media a publié des enregistrements et des messages internes de Proton, l’entreprise suisse derrière Proton Mail. On y entend son directeur technique, Bart Butler, affirmer en réunion que 90 % du code produit chez Proton en octobre a été écrit par l’IA, en grande partie avec Claude, le modèle d’Anthropic. Les salariés y décrivent une direction qui presse les équipes d’aller plus vite, quitte à sauter des étapes de vérification.
Proton n’est pas un éditeur de logiciels comme un autre. Fondée en 2014, l’entreprise vend du chiffrement : messagerie, stockage en ligne, gestionnaire de mots de passe, VPN et, depuis 2025, un assistant d’IA baptisé Lumo, qui promet de ne garder aucune conversation. Son fondateur revendiquait déjà 100 millions de comptes en avril 2023. Ces utilisateurs choisissent Proton précisément pour que leur sécurité ne dépende pas de la vitesse de livraison. Que change, pour eux, un code majoritairement généré par une machine et moins relu par des humains ?
Quatre mois de consignes internes, de l’été à octobre
Les documents obtenus par 404 Media permettent de reconstituer la manière dont la consigne est descendue dans l’entreprise. Chaque étape est datée par les messages et l’audio cités par le média :
- fin août 2026 : sur un canal Slack dédié à la sécurité, Andy Yen rejette la demande d’un salarié qui voulait quelques jours de test d’intrusion avant la mise en ligne d’un nouveau code ;
- le même jour, le PDG demande d’arrêter de « fabriquer amoureusement tout notre code à la main » et annonce que l’année sera la dernière où Proton recrute des ingénieurs ;
- septembre 2026 : Bart Butler publie sur Slack un manifeste qui assigne aux ingénieurs le rôle d’aider les modèles à écrire plus de code, plus vite, et prévoit qu’à terme la relecture soit elle aussi confiée à l’IA ;
- octobre 2026 : le directeur technique chiffre à 90 % la part du code écrit par l’IA, pendant que les salariés sont réinterrogés sur leur usage de ces outils.
Un document interne cité par le média explique cette pression par un objectif de revenus récurrents que Proton n’atteindrait pas, faute d’une vitesse de développement suffisante. La sécurité n’y apparaît pas comme une contrainte à préserver, mais comme un frein possible.
La promesse affichée face à la pratique décrite
Sur sa page consacrée à l’open source, Proton écrit que toutes ses applications sont publiques et auditées de manière indépendante par des experts tiers. C’est l’argument central de la marque : un code que chacun peut lire et que des spécialistes ont vérifié. Les révélations du 29 octobre ne disent pas que ce code est devenu vulnérable, mais elles décrivent une organisation où la vérification humaine recule à mesure que la production s’accélère.
C’est n’importe quoi, une façon de penser de perdant. Bien sûr qu’il est possible d’être rapide et sûr.
Andy Yen, fondateur et PDG de Proton, sur un canal Slack interne consacré à la sécurité, fin août 2026, en réponse à un salarié qui demandait un test d’intrusion avant une mise en production, propos rapportés par 404 Media le 29 octobre 2026
L’écart tient dans le calendrier. Un audit indépendant photographie le code à un instant donné ; quand 90 % des nouvelles lignes sortent d’un modèle en un mois, la photographie vieillit à la vitesse des livraisons. Rien, dans les éléments publiés, n’indique que Proton ait programmé un nouvel audit pour suivre ce changement de méthode.
Pourquoi le code généré inquiète davantage dans un service chiffré
Un bug dans une application de retouche photo se voit à l’écran. Dans un service de chiffrement, une erreur peut rester invisible pendant des mois : une clé mal générée, un contrôle d’accès oublié, une donnée envoyée en clair. Ce type de faille ne se signale pas par un plantage, et c’est précisément ce que les tests d’intrusion cherchent à débusquer avant les attaquants.
Le secteur en a déjà payé le prix ces dernières semaines. Epic Games a livré en préversion un lanceur largement écrit par l’IA, porte d’entrée vers une carte bancaire, et le piratage d’OpenCode a laissé des développeurs recevoir la facture de clés d’API utilisées par d’autres. Dans les deux cas, l’utilisateur a supporté le risque d’une méthode qu’il n’avait pas choisie.
Ce que Proton répond, et ce qu’il ne dit pas
Interrogé par 404 Media, un porte-parole de Proton n’a contesté aucun des faits rapportés. Il reconnaît que beaucoup de salariés sont inquiets et que l’entreprise a parfois été trop abrupte ou trop lente pour s’expliquer auprès de ses équipes.
La réponse porte sur le climat interne, pas sur la sécurité du produit. Elle ne précise ni la part de code généré relue par un humain, ni le sort des tests d’intrusion, ni la date du prochain audit externe. Pour un client, ce silence compte autant que les 90 % : la garantie vendue n’est plus documentée au rythme où le code change.
Les vérifications à faire si vous êtes abonné
Rien n’oblige à quitter Proton du jour au lendemain : aucune faille n’a été signalée, et le code reste publié. En revanche, l’existence d’un audit ne suffit plus comme preuve. Ce qui compte désormais, c’est sa date, et la version des applications qu’il couvre ; un rapport antérieur à l’été 2026 ne dit rien du code produit depuis.
Les protections qui ne dépendent pas de l’éditeur gardent toute leur valeur. Une double authentification par clé physique ou application dédiée, des mots de passe uniques et des sauvegardes exportées hors du service limitent les dégâts d’une éventuelle faille, quel que soit l’auteur du code. Pour Lumo, qui traite des conversations entières, la prudence consiste à ne rien y confier qui ne pourrait pas fuiter.
Les prochaines publications de Proton diront si l’entreprise répond sur le terrain qui intéresse ses clients : un audit récent, rendu public, sur les versions écrites avec l’IA.
Un test grandeur nature pour les promesses de confidentialité
Le cas Proton dépasse l’entreprise genevoise. Les géants de l’IA ont déjà obtenu de s’auditer eux-mêmes sans rien publier, et voici qu’un champion de la vie privée assume de faire écrire neuf lignes sur dix par un modèle. Les labels de confiance hérités des années 2010 reposent sur une relecture humaine que les éditeurs considèrent désormais comme un coût.
La question qui se pose aux clients n’est donc plus de savoir si l’IA écrit le code, mais qui vérifie ce qu’elle écrit, et quand. Les services qui sauront y répondre par des audits datés, publiés et renouvelés garderont un argument que le chiffrement seul ne suffit plus à porter.
