Votre ordinateur cache un deuxième ordinateur, le moteur de gestion d'Intel : mythe ou réalité ?

C'est Intel qui le dit. Dans la fiche technique de ses processeurs Core Ultra 200S, il décrit le CSME, son moteur de sécurité et de gestion, comme un petit processeur x86 autonome, avec sa mémoire, son moteur de chiffrement et ses entrées-sorties, isolé du processeur principal, selon la fiche d'Intel.

Il sert à authentifier le micrologiciel, au démarrage sécurisé et, sur certains PC, à la gestion à distance. En 2017, Andrew Tanenbaum, le créateur du système MINIX, a écrit qu'une version de son système tourne dans le moteur de gestion ME 11, dans une lettre ouverte à Intel.

Sur les PC d'entreprise de la gamme vPro, la gestion à distance d'Intel, AMT, permet de gérer l'appareil quel que soit son état d'alimentation, tant qu'il reste branché au courant et relié au réseau, selon le guide du développeur d'Intel. Sans connexion filaire ou Wi-Fi, AMT n'est pas accessible.

C'est fait pour les services informatiques, qui peuvent allumer, réparer ou réinstaller un poste à distance. Pour un PC grand public sans AMT, aucune source ne montre que le moteur répond au réseau quand l'ordinateur est éteint.

C'est vrai. En mai 2017, Intel a publié l'avis INTEL-SA-00075 : la faille CVE-2017-5689, notée 9,8 sur 10, permettait à un attaquant sur le réseau d'obtenir les privilèges système des PC où AMT était configuré, selon Intel.

Intel précisait que la faille n'existait pas sur les PC grand public dotés du micrologiciel grand public. Les entreprises devaient installer la correction livrée par le fabricant de leurs PC.

C'est vrai. Le 11 août 2026, Intel a publié l'avis INTEL-SA-01372 sur une faille d'élévation de privilèges dans le micrologiciel du CSME, notée 6,8 sur 10, de gravité moyenne, selon Intel. La liste des puces touchées comprend des processeurs grand public, jusqu'aux Core Ultra récents.

Intel ne livre pas la correction lui-même pour chaque PC : il demande d'installer la dernière version fournie par le fabricant de l'ordinateur. Un moteur de sécurité reste un logiciel, avec des failles qu'on corrige.

Deux pistes reviennent souvent. En 2017, les chercheurs de Positive Technologies ont trouvé un réglage caché, le bit HAP, lié au programme High Assurance Platform du gouvernement américain. Ce réglage désactive le moteur de gestion, il ne l'ouvre pas. Intel a répondu qu'il ne conçoit pas de porte dérobée et n'en concevra pas, selon The Register.

En octobre 2024, l'Association de cybersécurité de Chine, une association professionnelle, a accusé Intel d'avoir placé une porte dérobée dans presque tous ses processeurs depuis 2008, sans publier de preuve technique, selon The Register. Intel Chine a répondu qu'il resterait en contact avec les autorités et a rappelé l'importance qu'il accorde à la sécurité de ses produits, selon CNBC. Aucune analyse publique n'a montré de porte dérobée dans le moteur.

Le 31 juillet 2025, le régulateur chinois d'Internet a convoqué Nvidia au sujet de ses puces H20, en citant des risques de repérage et d'arrêt à distance, selon son communiqué. Nvidia a répondu le 5 août que ses puces n'ont pas et ne doivent pas avoir d'interrupteur ni de porte dérobée, selon le blogue de Nvidia.

En décembre 2025, selon Reuters, cité par The Decoder, Nvidia a mis au point un logiciel facultatif, installé par le client, qui estime où tournent ses puces d'après les délais de communication avec ses serveurs. Nvidia le présente comme un outil de gestion de parc, en lecture seule, et répète que ses puces n'ont ni repérage matériel, ni interrupteur, ni porte dérobée, selon Nvidia.

Aux États-Unis, le Chip Security Act, qui exigerait de vérifier où se trouvent les puces exportées, a été adopté en comité le 26 mars 2026, par 42 voix contre 0. Il n'a pas été voté par la Chambre, selon le site du Congrès.

Bloomberg Businessweek l'a affirmé en octobre 2018. Apple a répondu n'avoir jamais trouvé de puce malveillante dans ses serveurs, et AWS n'avoir jamais trouvé de matériel modifié, selon Apple et AWS. Le département américain de la Sécurité intérieure disait n'avoir « aucune raison de douter » de ces déclarations, selon sa déclaration.

En 2021, Bloomberg a publié une suite, avec d'autres incidents racontés par des sources. Supermicro a rejeté ces allégations comme inexactes, et The Register note que personne n'a présenté de preuve publique de ces puces, selon The Register.

C'est vrai, mais ce n'était pas une puce. En 2015, le logiciel Superfish, préinstallé sur des portables grand public de Lenovo, ajoutait un certificat racine compromis. Un attaquant pouvait lire le trafic web chiffré et se faire passer pour n'importe quel site, selon l'alerte de la CISA.

En 2017, Lenovo a conclu une entente avec la FTC, l'agence américaine de protection du consommateur : un programme de sécurité logicielle audité par un tiers pendant 20 ans, et le consentement du client avant d'installer ce genre de logiciel, selon la FTC.