Proton vend la confidentialité. Son PDG a qualifié les tests de sécurité de « pensée de perdant ». 90 % du code écrit par l’IA, une demande de pentest moquée sur Slack, et un wallet bitcoin sous le même toit. En octobre, 90 % du code de Proton a été écrit par l’IA. Lorsqu’un ingénieur a demandé quelques jours pour effectuer un pentest sur le nouveau code, le PDG l’a qualifié de « pensée de perdant ». ---------------------- Proton propose un courrier électronique chiffré, un VPN, un gestionnaire de mots de passe et un wallet bitcoin en auto-gestion. Son propre site affirme qu’il sert plus de 100 millions de personnes. L’histoire provient de 404 Media (29 oct.) : huit employés actuels et un ancien, des discussions Slack, des enregistrements audio de réunions et un manifeste du CTO. Le porte-parole de Proton n’a pas contesté ces révélations. Alors, que se passe-t-il quand une entreprise de confidentialité décide que les revues sont le goulot d’étranglement ? 👇 🔹 Le fil Slack que personne ne devait lire 🔹 Fin août, dans le canal sécurité. Un employé demande quelques jours pour effectuer un pentest avant la mise en production du nouveau code. Andy Yen : « C’est de la merde et une pensée de perdant. » Puis : « Arrêtez de confectionner soigneusement tout notre code et utilisez davantage l’IA. » Un autre ingénieur a contesté : la sécurité est « peu prioritaire pour le moment ». Aucune réponse directe. Même canal : « Cette année sera la dernière où nous recrutons des ingénieurs. » 🔹 L’objectif de revenu derrière cette précipitation 🔹 Un document interne indique que Proton ne suit pas son objectif de revenu récurrent annuel, « en raison d’une vitesse insuffisante ». Une autre ligne : « Selon toutes les métriques importantes, nous sommes une entreprise sous-performante. » Le CTO Bart Butler a déclaré lors d’une réunion que 90 % du code d’octobre avait été écrit par l’IA. Un logiciel installé sur les machines du personnel suit cette proportion. Ainsi, l’IA n’est pas ici un choix produit. C’est le plan de croissance. 🔹 Un recul avec une astérisque 🔹 Vendredi 30 octobre : Yen a annulé les « re-entretiens » par IA que le courriel interne avait qualifiés de « déterminants » pour la poursuite de l’emploi. Même réunion générale : « À l’avenir, je continuerai à pousser. » Un employé affirme que les critères mesurés par ces re-entretiens alimenteront désormais les évaluations de performance. Sa réponse sur Reddit a été downvotée plus de 1 200 fois. 🔹 Pourquoi cela concerne aussi la crypto 🔹 La promesse du wallet Proton est simple : seul vous pouvez accéder à votre bitcoin. L’auto-gestion transfère la confiance du bilan d’une entreprise vers son code. Aucun rapport ne mentionne que le code du wallet ait été exempté de revue. Mais la culture qui le livre est désormais documentée. Cette semaine, tout le monde parle de la sécurité des plateformes d’échange. Un wallet en auto-gestion pose la même question, sans fonds SAFU pour le soutenir. 🔹 Si vous utilisez Proton aujourd’hui (NFA) 🔹 ▫️ Vos clés 📝 Gardez votre phrase de récupération du wallet hors ligne, quelle que soit l’application qui la contient. ▫️ Votre 2FA 📝 Ne conservez pas votre gestionnaire de mots de passe et vos codes d’authentification dans la même application. ▫️ Les prochaines versions 📝 Surveillez si Proton publie des audits externes pour le code déployé depuis août. Je me détendrai si Proton publie une politique de revue pour le code écrit par l’IA avant la réorganisation du mois prochain. Je m’inquiéterai davantage si le prochain bug sérieux vient d’un chercheur externe, et non de Proton. Le code peut être à 90 % écrit par l’IA. La confiance reste à 100 % humaine. Conserveriez-vous vos clés chez une entreprise dont le PDG qualifie les pentests de « pensée de perdant » ?
