# La taxe française sur les gigaoctets, la prise de contrôle d'un compte ChatGPT via un lien partagé, la fuite de données de Scribd et la forge de code fédérée de Tangled : quatre histoires de développeurs dans un seul Daily Diff

Published: 2026-10-31

Quatre histoires de développeurs, chacune attribuée à sa source principale. L'Assemblée nationale française a adopté un amendement qui taxerait les fournisseurs de contenu 0,055 euro par gigaoctet envoyé aux abonnés internet français, par 11 voix contre 10 en première lecture du projet de loi de finances 2027 et non encore loi ; la firme de sécurité Parameter a publié comment elle a pris le contrôle de comptes ChatGPT via un lien de conversation partagé, qu'OpenAI a classé P1 et confirmé corrigé le 26 octobre ; Scribd, la société derrière Slideshare, Everand et Fable, a publié un avis d'incident de sécurité et envoie des courriels aux utilisateurs concernés ; et Tangled a publié une forge de code fédérée sur le protocole AT. Les chiffres sont ceux des sources, plusieurs questions restent ouvertes, et le verdict est NEEDS REVIEW.

Canonical: https://thedailydiff.dev/fr/video/2026-10-31-gigabyte-tax-chatgpt-scribd-tangled/

## Ce que couvre cette vidéo

- Le vendredi 30 octobre 2026, l'Assemblée nationale française a adopté l'amendement I-1358 au projet de loi de finances 2027 (première lecture, projet de loi n° 3210), qui crée une taxe sur les flux de données numériques envoyés par les fournisseurs de contenu. Le texte fixe à 0,055 euro par gigaoctet, dû par l'expéditeur ; les fournisseurs d'accès à Internet comptent les données allant à leurs clients par expéditeur, anonymement et sans consulter le contenu, et les déclarent trimestriellement à l'administration fiscale, et la sortie d'un réseau de diffusion de contenu compte comme celle de l'expéditeur. Le vote a été de 11 pour et 10 contre sur 21 votes exprimés, avec 35 membres votants, contre les avis du rapporteur du budget et du ministre. Les traductions en anglais du texte français dans cette vidéo sont les nôtres.
- L'amendement plafonne la taxe à 15 % des revenus de l'expéditeur en France ou à 2 % de ses revenus totaux. Sa note explicative prévoit environ 10 milliards d'euros et cite une estimation de l'ARCEP de 200 milliards de gigaoctets par an envoyés aux abonnés français ; 200 milliards multipliés par 0,055 donnent 11 milliards, et la note n'explique pas la différence. Le même texte a été rejeté en commission des finances le 9 octobre. La mesure n'est pas définitive : elle peut encore être modifiée ou supprimée lors de votes ultérieurs à l'Assemblée et au Sénat, et le texte lu pour cette vidéo ne fixe aucune date de début.
- Parameter Labs affirme avoir pris le contrôle de comptes ChatGPT en utilisant un lien de conversation partagée public. Selon son article du 28 octobre 2026, une chaîne de fonctionnalités ordinaires, une prévisualisation HTML dans un cadre restreint, un graphique qui a chargé une bibliothèque mathématique avec un écouteur de messages dans la page principale, et un écouteur qui a accepté un message sans vérifier son expéditeur, ont permis à son code de s'exécuter en tant que chatgpt.com dans la session de la victime, de lister les conversations et de lire une conversation privée. Il a signalé le bug le 18 octobre ; OpenAI l'a reproduit, a augmenté la gravité de P2 à P1, a confirmé le 26 octobre que les deux interfaces web rejetaient les messages, et a attribué une prime de 5 000 dollars. Le récit de la faille est celui de Parameter.
- Parameter conseille de vérifier à la fois l'origine de l'expéditeur et la fenêtre exacte dans les gestionnaires de messages, de ne jamais accepter de HTML brut dans les messages inter-fenêtres, et de traiter la politique de sécurité du contenu comme un contrôle de sauvegarde. Il rapporte que le bac à sable de prévisualisation lui-même a tenu ; le problème était un écouteur dans la page principale.
- L'avis du centre d'aide de Scribd, mis à jour pour la dernière fois le 1er octobre 2026, indique qu'une partie non autorisée a pénétré ses systèmes, a accédé à d'autres systèmes internes et aux informations des utilisateurs : des informations de compte de base pour la plupart des comptes et des informations plus sensibles pour un plus petit nombre. Il indique que la vulnérabilité a été corrigée, que des experts externes ont été engagés, que les forces de l'ordre et les autorités de protection des données ont été informées, et il recommande de réinitialiser les mots de passe pour Scribd, Slideshare, Everand et Fable. Un avis publié sur Hacker News le 26 octobre liste l'adresse e-mail, les quatre derniers chiffres de la carte, l'émetteur de la carte, la date d'expiration, le pays et l'historique des paiements, et indique qu'il n'y a aucune preuve d'utilisation abusive. Scribd n'a pas publié le nombre de comptes concernés.
- Tangled, une forge de code construite sur le protocole AT, a annoncé une version majeure le 30 octobre 2026 et se présente comme la première forge de code véritablement fédérée. Les dépôts peuvent être hébergés sur votre propre serveur (un nœud) tout en collaborant avec d'autres nœuds. Les problèmes, les requêtes de tirage et les commentaires sont désormais stockés sur le nœud sous forme de chaînes d'objets Git, et chaque modification écrit également un enregistrement d'attestation sur le serveur de données personnelles de l'auteur. L'application web est passée d'un seul programme Go sur une seule base de données SQLite en Suède à une interface Svelte en périphérie avec un indexeur Rust en lecture seule dans plus de 11 régions. Les auto-hébergeurs doivent mettre à niveau les nœuds vers la version 1.20.0 ; les dépôts privés, un CLI et des SDK sont annoncés pour les prochaines semaines. Ce sont les propres affirmations de Tangled.

## Questions et réponses

### Que dit l'amendement sur la taxe française sur les gigaoctets, et est-il déjà en vigueur ?

Le texte de l'amendement I-1358 de l'Assemblée nationale française fixe à 0,055 euro par gigaoctet, dû par l'entreprise qui envoie les données aux abonnés internet français, avec un plafond de 15 % de ses revenus français ou 2 % de ses revenus totaux. Il a été adopté par 11 voix contre 10 le 30 octobre en première lecture du projet de loi de finances 2027, il n'est donc pas une loi : le Sénat et les votes ultérieurs peuvent encore le modifier.

### Comment des chercheurs ont-ils pu prendre le contrôle de comptes ChatGPT via un lien partagé, et cela a-t-il été corrigé ?

Parameter Labs affirme qu'un lien de partage public ChatGPT pourrait exécuter son code en tant que chatgpt.com dans la session de la victime. L'écouteur de messages d'une bibliothèque mathématique dans la page principale a accepté un message de la prévisualisation dans le bac à sable sans vérifier son expéditeur, et le message pouvait contenir du HTML. Parameter l'a signalé le 18 octobre ; OpenAI l'a classé P1, a confirmé la correction le 26 octobre et a payé une prime de 5 000 dollars.

### Qu'est-ce que Scribd a déclaré avoir été exposé lors de son incident de sécurité, et que devraient faire les utilisateurs ?

L'avis du centre d'aide de Scribd, mis à jour pour la dernière fois le 1er octobre, indique qu'une partie non autorisée a accédé aux systèmes internes et aux informations des utilisateurs : données de compte de base pour la plupart des comptes et données plus sensibles pour un plus petit nombre. Un avis publié sur Hacker News liste l'adresse e-mail, les quatre derniers chiffres de la carte, l'émetteur, la date d'expiration, le pays et l'historique des paiements. Scribd recommande de réinitialiser les mots de passe sur Scribd, Slideshare, Everand et Fable et n'a pas dit combien de comptes ont été affectés.

### Qu'est-ce que Tangled, et comment stocke-t-il les problèmes et les requêtes de tirage sur une forge de code fédérée ?

Tangled est une forge de code construite sur le protocole AT qui se présente comme la première forge de code véritablement fédérée. Selon son annonce du 30 octobre, vous hébergez les dépôts sur votre propre serveur, appelé un nœud, et les problèmes, les requêtes de tirage et les commentaires y sont stockés sous forme de chaînes d'objets Git. Chaque modification écrit également un enregistrement d'attestation sur votre propre serveur de données personnelles. Les auto-hébergeurs doivent mettre à niveau les nœuds vers la version 1.20.0.

### Quel a été le verdict de The Daily Diff sur ces quatre histoires ?

Le verdict de The Daily Diff a été À VÉRIFIER. La taxe française a été adoptée par une voix et n'est pas encore une loi, la correction de ChatGPT n'est décrite que par les chercheurs de Parameter, Scribd n'a pas dit combien de comptes ont été touchés, et l'affirmation de fédération de Tangled est sa propre annonce, donc chaque source mérite d'être lue avant d'agir.

## Chapitres

- 0:00 Ouverture : qui paie un gigaoctet en France ?
- 0:44 Première histoire : qui paie la taxe française sur les gigaoctets, et est-ce déjà la loi ?
- 2:25 Deuxième histoire : comment un lien ChatGPT partagé a-t-il pu accéder à des discussions privées ?
- 3:33 Troisième histoire : qu'est-ce que Scribd a déclaré avoir été dérobé ?
- 4:42 Quatrième histoire : qu'est-ce qu'une forge de code fédérée ?
- 5:47 Retour en France : le montant du gigaoctet est-il cohérent ?
- 6:11 Verdict : À VÉRIFIER

## Transcription traduite

Traduit de la narration originale en anglais. L'audio et les sous-titres disponibles sont gérés par YouTube.

### Ouverture : qui paie un gigaoctet en France ?

0:00 Les taxes internet comptent généralement les revenus ou les bénéfices. L'Assemblée nationale française vient d'en adopter une qui compte les gigaoctets, cinq centimes et demi d'euro chacun, par onze voix contre dix. Dans cette vidéo, quatre histoires. Qui paie la taxe française sur les gigaoctets, et est-ce déjà la loi ? Comment un lien ChatGPT partagé a-t-il pu accéder à des discussions privées ? Qu'est-ce que Scribd a déclaré avoir été dérobé ? Et qu'est-ce qu'une forge de code fédérée ?

0:24 Un chiffre dans le texte français ne correspond pas tout à fait. Je le vérifierai à la fin. Nous sommes samedi trente et un octobre, et voici The Daily Diff. Une taxe sur les gigaoctets facture une entreprise pour chaque gigaoctet qu'elle envoie à des personnes, quel que soit le revenu de l'entreprise. Pensez à un péage sur Internet qui compte les octets au lieu des voitures, et la plupart des voitures sont des vidéos de chats.

### Première histoire : qui paie la taxe française sur les gigaoctets, et est-ce déjà la loi ?

0:44 Première histoire. Vendredi, l'Assemblée nationale a adopté l'amendement treize cent cinquante huit au projet de loi de finances deux mille vingt-sept. Il fixe à cinq centimes et demi d'euro par gigaoctet, dû par l'entreprise qui envoie les données aux abonnés français. Le texte a trois parties mobiles. Les fournisseurs d'accès à Internet comptent les données circulant vers leurs clients et déclarent qui les a envoyées, chaque trimestre, sans regarder le contenu. L'expéditeur doit la taxe ; les abonnés ne doivent rien.

1:09 Si l'expéditeur utilise un réseau de diffusion de contenu, ce qui quitte ce réseau compte comme étant celui de l'expéditeur. Voici le tarif, tiré du texte français. L'expéditeur doit le volume en gigaoctets multiplié par cinq centimes et demi. Cent gigaoctets représentent cinq euros cinquante. Un plafond limite la facture à quinze pour cent des revenus français de l'expéditeur, ou deux pour cent de ses revenus totaux. La version anglaise est notre traduction.

1:34 La commission a rejeté le même texte le neuf octobre. Vendredi, le rapporteur du budget a averti que les grandes plateformes pourraient répercuter le coût sur les annonceurs. Le ministre a déclaré que cela nécessiterait des capteurs de flux, et que la moitié de la taxe retomberait sur les petits fournisseurs, notamment français. L'auteur, du groupe socialiste, a répondu que les services sont gratuits, donc il n'y a rien à répercuter. Trente-cinq membres ont voté. Sur les vingt-et-un votes comptés, onze ont dit oui et dix ont dit non.

2:01 Il ne s'agit encore que d'un amendement en première lecture du projet de loi de finances, donc des votes ultérieurs à l'Assemblée et le Sénat peuvent le modifier ou le supprimer. Le texte que j'ai lu ne fixe aucune date de début. Le vingt-trois octobre, je vous ai dit que Quad9 quittait la France après une décision de justice. Cette fois, la cible est le trafic lui-même. Si vous envoyez beaucoup de données aux utilisateurs français, surveillez le Sénat, et demandez à votre CDN ce qu'il rapporte par pays. Deuxième histoire. La société de sécurité Parameter a publié comment elle a pris le contrôle de comptes ChatGPT

### Deuxième histoire : comment un lien ChatGPT partagé a-t-il pu accéder à des discussions privées ?

2:29 en utilisant uniquement un lien de conversation partagée. Elle a signalé le bug à OpenAI le dix-huit octobre. OpenAI l'a classé P un, et le vingt-six octobre a confirmé la correction. Parameter décrit la chaîne. La prévisualisation exécute le HTML dans un cadre restreint sur une autre adresse. Un graphique sur la même page a chargé une bibliothèque mathématique qui écoute les messages dans la page principale. Cet écouteur a accepté un message sans vérifier qui l'a envoyé, et le message pouvait contenir du HTML.

2:57 Le HTML a créé un nouveau cadre, qui s'est exécuté en tant que chatgpt.com. Dans la version automatique, l'ouverture du lien était le seul clic. Parameter dit que son code de test a listé les conversations de la victime et a lu une conversation privée. Il n'en a envoyé qu'une petite partie à son propre serveur pour le prouver, et OpenAI a payé une prime de cinq mille dollars. Le bac à sable de prévisualisation lui-même a tenu. La faille était l'écouteur dans la page principale. Parameter conseille de vérifier à la fois l'adresse de l'expéditeur et la fenêtre exacte,

3:26 et de ne jamais accepter de HTML brut dans un message inter-fenêtre. C'est un bon jour pour "grepper" vos propres gestionnaires de messages. Troisième histoire, une courte.

### Troisième histoire : qu'est-ce que Scribd a déclaré avoir été dérobé ?

3:34 Scribd, la société derrière Slideshare et Everand, a un avis dans son centre d'aide concernant un incident de sécurité, mis à jour pour la dernière fois le premier octobre. Il indique qu'une partie non autorisée a pénétré ses systèmes, puis a accédé à d'autres systèmes internes et aux informations des utilisateurs. Pour la plupart des comptes, dit Scribd, cela signifiait des informations de compte de base. Pour un plus petit nombre, des informations plus sensibles ont été compromises. Un avis posté par un utilisateur sur Hacker News lundi liste l'adresse e-mail et les quatre derniers chiffres de la carte.

4:02 Il liste également l'émetteur de la carte et la date d'expiration, ainsi que le pays et l'historique des paiements. Scribd dit qu'il n'y a aucune preuve d'utilisation abusive. Les avis diffèrent selon les personnes. Un média roumain, Business 24, rapporte que les avis là-bas listent également les titres que les gens ont lus ou recherchés. Scribd n'a pas dit combien de comptes ont été affectés, et il dit que les avis sont envoyés par phases, donc pas d'e-mail ne signifie pas que vous avez été épargné. Que faire.

4:29 Scribd vous demande de réinitialiser votre mot de passe sur les quatre sites, faites-le, et changez-le partout ailleurs où vous l'avez réutilisé. Méfiez-vous de tout appel ou e-mail qui connaît les quatre derniers chiffres de votre carte, car un escroc pourrait les connaître aussi.

### Quatrième histoire : qu'est-ce qu'une forge de code fédérée ?

4:42 Quatrième histoire. Tangled, une forge de code construite sur le protocole AT, le protocole ouvert sur lequel Bluesky s'exécute, a livré une version majeure vendredi. Elle se présente comme la première forge de code véritablement fédérée. Vous pouvez héberger vos dépôts sur votre propre serveur, que Tangled appelle un nœud, et toujours collaborer avec des personnes sur d'autres nœuds. Le changement important est l'endroit où se déroule la discussion. Les problèmes, les requêtes de tirage et les commentaires sont désormais stockés sur le nœud, juste à côté du code, sous forme de chaînes d'objets Git.

5:09 Un nœud pourrait essayer de vous faire dire des choses, donc chaque modification écrit également un enregistrement sur votre propre serveur de données personnelles. Tangled appelle cela la vérification bidirectionnelle. Jusqu'à cette version, toute l'application web était un seul programme Go sur une seule base de données SQLite sur un seul serveur en Suède. Maintenant, c'est une interface Svelte en périphérie, plus un indexeur en lecture seule en Rust qui fonctionne dans onze régions ou plus. Si vous auto-hébergez, la version vous demande de mettre à niveau vos nœuds vers la version un

5:38 point vingt. Des dépôts privés et un outil en ligne de commande sont annoncés pour les prochaines semaines. Ceci est la propre annonce de Tangled, et je n'ai pas encore trouvé d'avis indépendant.

### Retour en France : le montant du gigaoctet est-il cohérent ?

5:47 Maintenant, la somme que j'ai promise. La note de l'amendement français cite deux cents milliards de gigaoctets par an envoyés aux abonnés français. À cinq centimes et demi chacun, cela représente onze milliards d'euros. La note promet dix milliards. Elle n'explique pas l'écart. Si vous préférez lire ceci plutôt que de m'entendre le dire, la différence arrive dans votre boîte de réception chaque matin, gratuitement sur daily diff point dev, lien ci-dessous.

6:10 Le verdict d'aujourd'hui est donc À VÉRIFIER.

### Verdict : À VÉRIFIER

6:13 Je l'examinerais car la taxe française a été adoptée par une voix et n'est pas encore une loi, la correction de ChatGPT n'est décrite que par les chercheurs, Scribd n'a pas dit combien de comptes ont été touchés, et l'affirmation de fédération de Tangled est la sienne. Abonnez-vous, activez la cloche, et dites-moi dans les commentaires si vous l'auriez estampillée différemment. Et c'est la différence pour aujourd'hui. Je suis Niko d'Axrisi. Fusionnez de manière responsable.

## Sources

- [Amendement n°I-1358, Projet de loi de finances pour 2027 (adopted October 30, 2026)](https://www.assemblee-nationale.fr/dyn/17/amendements/3210A/AN/1358) — Assemblée nationale
- [Compte rendu de la première séance du vendredi 30 octobre 2026](https://www.assemblee-nationale.fr/dyn/17/comptes-rendus/seance/session-ordinaire-de-2026-2027/premiere-seance-du-vendredi-30-octobre-2026) — Assemblée nationale
- [Amendement I-CF365 (rejected in the finance committee)](https://www.assemblee-nationale.fr/dyn/17/amendements/3210A/CION_FIN/CF365.pdf) — Assemblée nationale
- [Budget 2027 : les députés votent une taxe au gigaoctet](https://www.europe1.fr/politique/budget-2027-les-deputes-votent-une-taxe-au-gigaoctet-1197300) — Europe 1
- [Do the Math: How We Took Over ChatGPT Accounts](https://www.parameter.ai/labs/we-found-a-gap-at-openai) — Parameter Labs
- [Information about the recent security incident](https://support.scribd.com/hc/en-us/articles/53787421531284-Information-about-the-recent-security-incident) — Scribd Help Center
- [Tell HN: Scribd Breached (notice text as posted by a user)](https://news.ycombinator.com/item?id=50312756) — Hacker News
- [Scribd notifică utilizatorii din România privind un incident de securitate](https://business24.ro/incident-de-securitate/scribd-notificare-utilizator-romania-incident-securitate-conturi-1673136) — Business24
- [The federated code forge](https://tangled.org/blog/forge/) — Tangled