Pourquoi la fonction Recall de Windows 11 inquiète de plus en plus

• La fonctionnalité Recall de Windows 11 vient d’être soumise à une batterie de tests
• Elle s’en est mieux sortie que lors de sa première version en préversion, mais continue de présenter des failles dans son filtre de données sensibles
• Dans certains cas, ce filtre ne parvient tout simplement pas à empêcher la capture d’informations cruciales — comme des numéros de carte bancaire — dans les captures d’écran générées par Recall

La fonction Recall de Windows 11 est à nouveau dans le viseur, un nouveau rapport indiquant que, dans certaines situations, elle capture des données sensibles dans le cadre de son fonctionnement quotidien (chez les utilisateurs de PC Copilot+ qui ont activé l’option).

Pour rappel, Recall est une fonction de recherche basée sur l’intelligence artificielle, utilisant le langage naturel et alimentée par des captures d’écran régulières de l’activité sur l’ordinateur. Bien que puissante, cette technologie soulève depuis le début des préoccupations en matière de confidentialité et de sécurité (et son lancement initial a été particulièrement chaotique).

Certaines inquiétudes persistent, comme le montre un rapport publié par The Register. Dans certaines configurations, les captures générées par Recall pourraient représenter « un trésor potentiel pour des personnes malintentionnées », selon les mots d’Avram Piltch, l’auteur du test.

Piltch a mis Recall à l’épreuve sur un Lenovo Yoga Slim 7x (un PC Copilot+), et a constaté que si la fonction parvenait parfois à exclure les informations financières sensibles — telles que les numéros de carte bancaire — des captures réalisées, ce n’était pas systématique.

Parmi les défaillances relevées, on note que Recall a capturé l’écran d’un faux site web (créé pour le test) comportant un formulaire de paiement, dès lors que les mots-clés comme « page de paiement » ou « saisir les informations de carte » avaient été retirés. Lorsque ces mentions étaient présentes, le site n’était pas capturé. Mais une fois supprimées, Recall ne reconnaissait plus les données comme sensibles et les capturait malgré tout.

Comme le souligne Piltch, toutes les interfaces de paiement en ligne ne se ressemblent pas, ce qui soulève la question de savoir si certaines pages réelles pourraient échapper à la vigilance du filtre de Recall.

L’outil a également été pénalisé pour avoir capturé un fichier texte contenant des identifiants et mots de passe fictifs. Si le mot « mot de passe » figurait dans le document, la capture était bloquée. Sinon, elle était autorisée, même si le contenu restait sensible. (Bien entendu, il est fortement déconseillé de stocker des mots de passe dans un simple fichier texte, mais cela reste une pratique courante chez certains utilisateurs).

Piltch a également observé que lors de la consultation de son compte bancaire en ligne, Recall a pris des captures d’écran montrant le solde ainsi que la liste des derniers dépôts. Ces informations pourraient avoir de la valeur pour une personne malveillante, bien que l’outil ait heureusement masqué le numéro de compte et l’identifiant bancaire (ABA routing).

Concernant l’utilisation de PayPal, Recall a capturé la page de connexion, révélant l’identifiant mais pas le mot de passe. En revanche, la page de compte avec les transactions récentes n’a pas été enregistrée, ce qui constitue un point positif. Reste que la fuite de l’identifiant pose tout de même problème.

Recall a aussi su identifier une photo de passeport et éviter de la capturer. Mais si une autre fenêtre venait partiellement masquer l’image, l’outil ne reconnaissait plus le document comme un passeport et prenait tout de même une capture, laissant apparaître des données sensibles.

Mieux, mais encore loin du compte

Les problèmes relevés concernent surtout l’incapacité de Recall à détecter des données sensibles lorsqu’elles ne sont pas explicitement signalées (par des mots-clés comme « informations de paiement ») ou lorsqu’elles sont partiellement visibles (comme la photo de passeport).

Juger Recall trop sévèrement n’est peut-être pas utile. Il convient toutefois de reconnaître que la fonction devrait être capable d’identifier un ensemble de chiffres typique d’une carte bancaire (16 chiffres, date, CVC) et de les bloquer. De même, un document d’identité partiellement masqué ne devrait pas échapper à la détection.

D’autres cas, comme le fichier de mots de passe, semblent moins critiques. Les contenus peuvent être très variés, sans structure claire, rendant leur détection plus complexe.

Malgré tout, trop d’éléments passent encore au travers du filtre. Recall reste officiellement en phase de test, et Microsoft reconnaît que certaines informations sensibles peuvent ne pas être filtrées correctement (et invite les utilisateurs à faire remonter ces cas dans le cadre de cette phase de test).

En résumé, Recall est encore en développement. Des progrès sont visibles — Piltch avait mené des tests similaires pour Tom’s Hardware lors de la sortie initiale en préversion, et les résultats étaient bien pires à l’époque — mais des défauts persistent. Cela reste insuffisant, et même avec un PC Copilot+, il serait difficile de faire confiance à cet outil.

Un doute persiste également sur la capacité de Recall à devenir un jour totalement fiable dans la détection des données sensibles, ou à éviter les bugs susceptibles de compromettre la sécurité. Et dans ces conditions, l’utilité de cette recherche assistée par IA reste discutable.

Il est possible de ne pas activer Recall — d’ailleurs, l’option est désactivée par défaut sur les PC Copilot+.

Enfin, il convient de rappeler qu’un accès à l’ordinateur serait nécessaire pour consulter ces captures d’écran, ce qui n’est pas une mince affaire. Cependant, Piltch souligne qu’une attaque physique, menée par une personne connaissant ou devinant le code Windows Hello, n’est pas à exclure. L’accès à distance, bien que plus complexe, reste également envisageable.

Ce constat est d’autant plus préoccupant qu’un filtre censé assurer la sécurité dans ces situations ne fonctionne pas de manière totalement fiable.

Vous aimerez aussi

• Windows 11 se prépare à conquérir le gaming portable avec son mode spécial
• Windows 11 est désormais la référence sur les bureaux, tandis que Windows 10 s’apprête à disparaître
• Microsoft sous pression : des utilisateurs de Windows 10 réclament une solution après l’impossibilité de migrer vers Windows 11