# La taxe française sur les gigaoctets, un piratage de compte ChatGPT par lien partagé, la brèche Scribd et la forge de code fédérée de Tangled: quatre histoires de développeurs dans un Daily Diff Published: 2026-10-31 Quatre histoires de développeurs, chacune attribuée à sa source principale. L'Assemblée nationale française a adopté un amendement qui taxerait les fournisseurs de contenu de 0,055 euro par gigaoctet envoyé aux abonnés internet français, par 11 voix contre 10 en première lecture du projet de loi de finances 2027 et n'est pas encore loi; la firme de sécurité Parameter a publié comment elle a pris le contrôle de comptes ChatGPT via un lien de conversation partagé, qu'OpenAI a classé P1 et a confirmé résolu le 26 octobre; Scribd, la société derrière Slideshare, Everand et Fable, a publié un avis d'incident de sécurité et envoie des courriels aux utilisateurs concernés; et Tangled a lancé une forge de code fédérée sur le protocole AT. Les chiffres sont ceux des sources elles-mêmes, plusieurs questions sont encore ouvertes, et le verdict est NEEDS REVIEW. Canonical: https://thedailydiff.dev/fr-CA/video/2026-10-31-gigabyte-tax-chatgpt-scribd-tangled/ ## Ce que cette vidéo couvre - Le vendredi 30 octobre 2026, l'Assemblée nationale française a adopté l'amendement I-1358 au projet de loi de finances 2027 (première lecture, projet de loi n° 3210), qui crée une taxe sur les flux de données numériques envoyés par les fournisseurs de contenu. Le texte fixe à 0,055 euro par gigaoctet, dû par l'expéditeur ; les fournisseurs d'accès internet comptent les données allant à leurs clients par expéditeur, anonymement et sans consulter le contenu, et les déclarent trimestriellement à l'administration fiscale, et le flux sortant d'un réseau de diffusion de contenu compte comme celui de l'expéditeur. Le vote a été de 11 voix pour et 10 contre sur 21 votes comptés, avec 35 membres votants, contre les avis du rapporteur du budget et du ministre. Les traductions en anglais du texte français dans cette vidéo sont les nôtres. - L'amendement plafonne la taxe à 15 pour cent du chiffre d'affaires de l'expéditeur en France ou à 2 pour cent de son chiffre d'affaires total. Sa note explicative prévoit environ 10 milliards d'euros et cite une estimation de l'ARCEP de 200 milliards de gigaoctets par an envoyés aux abonnés français ; 200 milliards multipliés par 0,055 donnent 11 milliards, et la note n'explique pas la différence. Le même texte a été rejeté en commission des finances le 9 octobre. La mesure n'est pas définitive : elle peut encore être modifiée ou supprimée lors de votes ultérieurs à l'Assemblée et au Sénat, et le texte lu pour cette vidéo ne fixe aucune date de début. - Parameter Labs affirme avoir pris le contrôle de comptes ChatGPT en utilisant un lien de conversation partagé public. Selon sa publication du 28 octobre 2026, une chaîne de fonctionnalités ordinaires, un aperçu HTML dans un cadre restreint, un graphique qui a chargé une bibliothèque mathématique avec un écouteur de messages dans la page principale, et un écouteur qui a accepté un message sans vérifier son expéditeur, ont permis à son code de s'exécuter comme chatgpt.com dans la session de la victime, de lister les conversations et de lire une conversation privée. Il a signalé le bogue le 18 octobre ; OpenAI l'a reproduit, a augmenté la sévérité de P2 à P1, a confirmé le 26 octobre que les deux interfaces web rejetaient les messages, et a attribué une récompense de 5 000 dollars. Le compte de la faille est celui de Parameter. - Parameter conseille de vérifier à la fois l'origine de l'expéditeur et la fenêtre exacte dans les gestionnaires de messages, de ne jamais accepter de HTML brut dans les messages inter-fenêtres, et de traiter la politique de sécurité du contenu comme un contrôle de sauvegarde. Il rapporte que la "sandbox" de l'aperçu elle-même a tenu ; le problème était un écouteur dans la page principale. - L'avis du centre d'aide de Scribd, mis à jour pour la dernière fois le 1er octobre 2026, indique qu'une partie non autorisée a pénétré ses systèmes, a atteint d'autres systèmes internes et a accédé à des informations d'utilisateur : informations de compte de base pour la plupart des comptes et informations plus sensibles pour un plus petit nombre. Il indique que la vulnérabilité a été corrigée, que des experts externes ont été engagés, que les autorités chargées de l'application de la loi et de la protection des données ont été notifiées, et il recommande de réinitialiser les mots de passe pour Scribd, Slideshare, Everand et Fable. Un avis publié sur Hacker News le 26 octobre énumère l'adresse e-mail, les quatre derniers chiffres de la carte, l'émetteur de la carte, la date d'expiration, le pays et l'historique des paiements, et indique qu'il n'y a aucune preuve d'utilisation abusive. Scribd n'a pas publié le nombre de comptes affectés. - Tangled, une forge de code construite sur le protocole AT, a annoncé une version majeure le 30 octobre 2026 et se présente comme la première forge de code véritablement fédérée. Les dépôts peuvent être hébergés sur votre propre serveur (un nœud) tout en collaborant avec d'autres nœuds. Les problèmes, les demandes de tirage et les commentaires sont maintenant stockés sur le nœud sous forme de chaînes d'objets Git, et chaque modification écrit également un enregistrement d'attestation sur le propre serveur de données personnelles de l'auteur. L'application web est passée d'un seul programme Go sur une seule base de données SQLite en Suède à une interface Svelte à la périphérie avec un indexeur Rust en lecture seule dans plus de 11 régions. Les auto-hébergeurs doivent mettre à niveau les nœuds vers la version 1.20.0 ; les dépôts privés, une interface en ligne de commande et des SDK sont listés pour les prochaines semaines. Ce sont les propres affirmations de Tangled. ## Questions et réponses ### Que dit l'amendement français sur la taxe sur les gigaoctets, et est-il déjà une loi? Le texte de l'Assemblée nationale française pour l'amendement I-1358 fixe à 0,055 euro par gigaoctet, dû par l'entreprise qui envoie les données aux abonnés internet français, avec un plafond de 15 pour cent de son chiffre d'affaires français ou de 2 pour cent de son chiffre d'affaires total. Il a été adopté par 11 voix contre 10 le 30 octobre en première lecture du projet de loi de finances 2027, il n'est donc pas encore une loi : le Sénat et les votes ultérieurs peuvent encore le modifier. ### Comment les chercheurs ont-ils pris le contrôle de comptes ChatGPT via un lien partagé, et cela a-t-il été corrigé? Parameter Labs affirme qu'un lien de partage public ChatGPT pouvait exécuter son code en tant que chatgpt.com dans la session de la victime. L'écouteur de messages d'une bibliothèque mathématique dans la page principale a accepté un message de l'aperçu en bac à sable sans vérifier son expéditeur, et le message pouvait contenir du HTML. Parameter l'a signalé le 18 octobre ; OpenAI l'a classé P1, a confirmé la correction le 26 octobre et a versé une récompense de 5 000 dollars. ### Qu'est-ce que Scribd a dit avoir été exposé lors de son incident de sécurité, et que devraient faire les utilisateurs? L'avis du centre d'aide de Scribd, mis à jour pour la dernière fois le 1er octobre, indique qu'une partie non autorisée a atteint les systèmes internes et les informations des utilisateurs : données de compte de base pour la plupart des comptes et données plus sensibles pour un plus petit nombre. Un avis publié sur Hacker News liste l'adresse e-mail, les quatre derniers chiffres de la carte, l'émetteur, la date d'expiration, le pays et l'historique des paiements. Scribd recommande de réinitialiser les mots de passe sur Scribd, Slideshare, Everand et Fable et n'a pas dit combien de comptes ont été affectés. ### Qu'est-ce que Tangled, et comment stocke-t-il les problèmes et les demandes de tirage sur une forge de code fédérée? Tangled est une forge de code construite sur le protocole AT qui se qualifie de première forge de code véritablement fédérée. Selon son annonce du 30 octobre, vous hébergez les dépôts sur votre propre serveur, appelé un nœud, et les problèmes, les demandes de tirage et les commentaires y sont stockés sous forme de chaînes d'objets Git. Chaque modification écrit également un enregistrement d'attestation sur votre propre serveur de données personnelles. Les auto-hébergeurs doivent mettre à niveau les nœuds vers la v1.20.0. ### Quel a été le verdict de The Daily Diff sur ces quatre histoires? Le verdict de The Daily Diff a été À RÉVISER. La taxe française a été adoptée à une voix près et n'est pas encore une loi, la correction de ChatGPT n'est décrite que par les chercheurs de Parameter, Scribd n'a pas dit combien de comptes ont été touchés, et l'affirmation de fédération de Tangled est sa propre annonce, donc chaque source mérite d'être lue avant d'agir. ## Chapitres - 0:00 Ouverture: qui paie pour un gigaoctet en France? - 0:44 Première histoire: qui paie la taxe française sur les gigaoctets, et est-ce déjà une loi? - 2:25 Deuxième histoire: comment un lien ChatGPT partagé a-t-il pu accéder à des discussions privées? - 3:33 Troisième histoire: qu'est-ce que Scribd a dit avoir été volé? - 4:42 Quatrième histoire: qu'est-ce qu'une forge de code fédérée? - 5:47 Retour en France: le compte des gigaoctets est-il bon? - 6:11 Verdict: À RÉVISER ## Transcription traduite Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont contrôlés par YouTube. ### Ouverture: qui paie pour un gigaoctet en France? 0:00 Les taxes internet comptent généralement les revenus ou les bénéfices. L'Assemblée nationale française vient d'en adopter une qui compte les gigaoctets, cinq centimes et demi d'euro chacun, par onze voix contre dix. Dans cette vidéo, quatre histoires. Qui paie la taxe française sur les gigaoctets, et est-ce déjà une loi? Comment un lien ChatGPT partagé a-t-il pu accéder à des discussions privées? Qu'est-ce que Scribd a dit avoir été volé? Et qu'est-ce qu'une forge de code fédérée? 0:24 Un chiffre dans le texte français ne colle pas tout à fait. Je le vérifierai à la fin. Nous sommes le samedi 31 octobre, et voici The Daily Diff. Une taxe sur les gigaoctets facture une entreprise pour chaque gigaoctet qu'elle envoie à des personnes, quel que soit le revenu de l'entreprise. Pensez à un poste de péage sur internet qui compte les octets au lieu des voitures, et la plupart des voitures sont des vidéos de chats. ### Première histoire: qui paie la taxe française sur les gigaoctets, et est-ce déjà une loi? 0:44 Première histoire. Vendredi, l'Assemblée nationale a adopté l'amendement treize cent cinquante huit au projet de loi de finances deux mille vingt-sept. Il fixe à cinq centimes et demi d'euro par gigaoctet, dû par l'entreprise qui envoie les données aux abonnés français. Le texte comporte trois éléments. Les fournisseurs d'accès internet comptent les données circulant vers leurs clients et déclarent qui les a envoyées, chaque trimestre, sans consulter le contenu. L'expéditeur doit la taxe; les abonnés ne doivent rien. 1:09 Si l'expéditeur utilise un réseau de diffusion de contenu, ce qui quitte ce réseau compte comme étant celui de l'expéditeur. Voici le taux, d'après le texte français. L'expéditeur doit le volume en gigaoctets multiplié par cinq centimes et demi. Cent gigaoctets reviennent à cinq euros cinquante. Un plafond limite la facture à quinze pour cent du chiffre d'affaires français de l'expéditeur, ou deux pour cent de son chiffre d'affaires total. La version anglaise est notre traduction. 1:34 La commission a rejeté le même texte le neuf octobre. Vendredi, le rapporteur du budget a averti que les grandes plateformes pourraient répercuter le coût aux annonceurs. Le ministre a dit qu'il faudrait des capteurs de flux, et que la moitié de la taxe pèserait sur les plus petits, notamment français, fournisseurs. L'auteur, du groupe socialiste, a répondu que les services sont gratuits, il n'y a donc rien à répercuter. Trente-cinq membres ont voté. Sur les vingt et un votes comptés, onze ont dit oui et dix ont dit non. 2:01 Ce n'est encore qu'un amendement en première lecture du projet de loi de finances, donc des votes ultérieurs à l'Assemblée et au Sénat peuvent le modifier ou le supprimer. Le texte que j'ai lu ne fixe pas de date de début. Le vingt-trois octobre, je vous ai dit que Quad9 quittait la France après une décision de justice. Cette fois, la cible est le trafic lui-même. Si vous envoyez beaucoup de données aux utilisateurs français, surveillez le Sénat, et demandez à votre CDN ce qu'il rapporte par pays. Deuxième histoire. La firme de sécurité Parameter a publié comment elle a pris le contrôle de comptes ChatGPT ### Deuxième histoire: comment un lien ChatGPT partagé a-t-il pu accéder à des discussions privées? 2:29 en utilisant rien d'autre qu'un lien de conversation partagé. Elle a signalé le bogue à OpenAI le dix-huit octobre. OpenAI l'a classé P un, et le vingt-six octobre a confirmé la correction. Parameter décrit la chaîne. L'aperçu exécute du HTML dans un cadre restreint à une autre adresse. Un graphique sur la même page a chargé une bibliothèque mathématique qui écoute les messages dans la page principale. Cet écouteur a accepté un message sans vérifier qui l'avait envoyé, et le message pouvait contenir du HTML. 2:57 Le HTML a créé un nouveau cadre, qui s'exécutait en tant que chatgpt point com. Dans la version automatique, l'ouverture du lien était le seul clic. Parameter dit que son code de test a listé les conversations de la victime et en a lu une privée. Il n'a envoyé qu'une petite partie à son propre serveur pour le prouver, et OpenAI a payé une récompense de cinq mille dollars. Le bac à sable de l'aperçu lui-même a tenu. Le trou était l'écouteur dans la page principale. Parameter conseille de vérifier à la fois l'adresse de l'expéditeur et la fenêtre exacte, 3:26 et de ne jamais accepter de HTML brut dans un message inter-fenêtres. C'est une bonne journée pour vérifier vos propres gestionnaires de messages. Troisième histoire, une courte. ### Troisième histoire: qu'est-ce que Scribd a dit avoir été volé? 3:34 Scribd, la société derrière Slideshare et Everand, a un avis dans son centre d'aide concernant un incident de sécurité, mis à jour pour la dernière fois le premier octobre. Il dit qu'une partie non autorisée a pénétré ses systèmes, puis a atteint d'autres systèmes internes et des informations utilisateur. Pour la plupart des comptes, dit Scribd, cela signifiait des informations de compte de base. Pour un plus petit nombre, des informations plus sensibles ont été compromises. Un avis posté par un utilisateur sur Hacker News lundi liste l'adresse e-mail et les quatre derniers chiffres de la carte. 4:02 Il liste également l'émetteur de la carte et la date d'expiration, ainsi que le pays et l'historique des paiements. Scribd dit qu'il n'y a aucune preuve d'utilisation abusive. Les avis varient d'une personne à l'autre. Un média roumain, Business 24, rapporte que les avis là-bas listent également les titres que les gens ont lus ou recherchés. Scribd n'a pas dit combien de comptes ont été affectés, et il dit que les avis sont envoyés par phases, donc pas d'e-mail ne signifie pas que vous avez été épargné. Que faire. 4:29 Scribd vous demande de réinitialiser votre mot de passe sur les quatre sites, alors faites-le, et changez-le partout ailleurs où vous l'avez réutilisé. Méfiez-vous de tout appel ou e-mail qui connaît les quatre derniers chiffres de votre carte, car un escroc pourrait les connaître aussi. ### Quatrième histoire: qu'est-ce qu'une forge de code fédérée? 4:42 Quatrième histoire. Tangled, une forge de code construite sur le protocole AT, le protocole ouvert sur lequel Bluesky fonctionne, a livré une grande version vendredi. Il se qualifie de première forge de code véritablement fédérée. Vous pouvez héberger vos dépôts sur votre propre serveur, que Tangled appelle un nœud, et toujours collaborer avec des personnes sur d'autres nœuds. Le changement important est l'endroit où se déroule la discussion. Les problèmes, les demandes de tirage et les commentaires sont maintenant stockés sur le nœud, juste à côté du code, sous forme de chaînes d'objets Git. 5:09 Un nœud pourrait essayer de vous faire dire des choses, donc chaque modification écrit également un enregistrement sur votre propre serveur de données personnelles. Tangled l'appelle la vérification bidirectionnelle. Jusqu'à cette version, toute l'application web était un programme Go sur une seule base de données SQLite sur un seul serveur en Suède. Maintenant, c'est un "frontend" Svelte en périphérie, plus un indexeur Rust en lecture seule qui fonctionne dans onze régions ou plus. Si vous auto-hébergez, la version vous demande de mettre à niveau vos nœuds vers la version un 5:38 point vingt. Les dépôts privés et un outil en ligne de commande sont listés pour les prochaines semaines. Ceci est la propre annonce de Tangled, et je n'ai pas encore trouvé d'évaluation indépendante. ### Retour en France: le compte des gigaoctets est-il bon? 5:47 Maintenant la somme promise. La propre note de l'amendement français cite deux cents milliards de gigaoctets par an envoyés aux abonnés français. À cinq centimes et demi chacun, cela fait onze milliards d'euros. La note promet dix milliards. Elle n'explique pas l'écart. Si vous préférez lire ceci plutôt que de m'entendre le dire, le "diff" arrive dans votre boîte de réception chaque matin, gratuitement sur thedailydiff.dev, lien ci-dessous. 6:10 Donc le verdict d'aujourd'hui est À RÉVISER. ### Verdict: À RÉVISER 6:13 Je le réviserais parce que la taxe française a été adoptée à une voix près et n'est pas encore une loi, la correction de ChatGPT n'est décrite que par les chercheurs, Scribd n'a pas dit combien de comptes ont été touchés, et l'affirmation de fédération de Tangled est la sienne. Abonnez-vous, cliquez sur la cloche, et dites-moi dans les commentaires si vous l'auriez estampillé différemment. Et c'est le "diff" pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable. ## Sources - [Amendement n°I-1358, Projet de loi de finances pour 2027 (adopted October 30, 2026)](https://www.assemblee-nationale.fr/dyn/17/amendements/3210A/AN/1358) — Assemblée nationale - [Compte rendu de la première séance du vendredi 30 octobre 2026](https://www.assemblee-nationale.fr/dyn/17/comptes-rendus/seance/session-ordinaire-de-2026-2027/premiere-seance-du-vendredi-30-octobre-2026) — Assemblée nationale - [Amendement I-CF365 (rejected in the finance committee)](https://www.assemblee-nationale.fr/dyn/17/amendements/3210A/CION_FIN/CF365.pdf) — Assemblée nationale - [Budget 2027 : les députés votent une taxe au gigaoctet](https://www.europe1.fr/politique/budget-2027-les-deputes-votent-une-taxe-au-gigaoctet-1197300) — Europe 1 - [Do the Math: How We Took Over ChatGPT Accounts](https://www.parameter.ai/labs/we-found-a-gap-at-openai) — Parameter Labs - [Information about the recent security incident](https://support.scribd.com/hc/en-us/articles/53787421531284-Information-about-the-recent-security-incident) — Scribd Help Center - [Tell HN: Scribd Breached (notice text as posted by a user)](https://news.ycombinator.com/item?id=50312756) — Hacker News - [Scribd notifică utilizatorii din România privind un incident de securitate](https://business24.ro/incident-de-securitate/scribd-notificare-utilizator-romania-incident-securitate-conturi-1673136) — Business24 - [The federated code forge](https://tangled.org/blog/forge/) — Tangled