Souveraineté : auditer le comportement d'un logiciel extra-européen

La FAQ de REA, l'outil de rétro-ingénierie par agents le plus suivi d'octobre 2026, répond en deux phrases à la question « Does REA upload my app? » : l'outil analyse les cibles localement, mais l'agent reçoit les résultats d'outils, et le fournisseur de son modèle applique sa propre politique de données¹. Cette nuance résume l'enjeu de souveraineté d'un audit logiciel : savoir ce que fait un programme extra-européen, sans créer soi-même une nouvelle fuite en l'analysant.

L'enjeu

Un logiciel édité hors d'Europe peut relever de lois à portée extraterritoriale ; le CLOUD Act américain de 2018 est l'exemple le plus cité. Au-delà de la conformité au RGPD, la question devient opérationnelle : vers quels serveurs partent les données, quels canaux de télémétrie et de mise à jour existent, un accès distant est-il possible ? Pour un opérateur d'importance vitale, une administration ou un acheteur public, ces réponses pèsent dans la décision d'achat. Notre fiche sur la souveraineté numérique pose le cadre général.

Ce que l'analyse par agent apporte

Sans le code source, un agent équipé de REA cartographie le comportement observable d'un logiciel. Pour un binaire natif, il pilote Ghidra, Hopper ou IDA et rend chaînes, symboles et références ; pour une application JavaScript ou Electron, il relève modules, routes et canaux IPC ; pour une application Android, le manifeste et les classes décompilées ; pour un site, la structure, les scripts et les observations réseau¹. On y cherche les domaines contactés, les points de télémétrie, les bibliothèques embarquées et les mécanismes de mise à jour automatique. La part décompilée de cette analyse pose une question de droit, traitée plus bas.

Le statique montre ce que le logiciel peut faire. La capture réseau, réalisée dans un environnement isolé, montre ce qu'il fait ; notre page sur la vérification de ce qu'une application envoie décrit la méthode, et celle sur l'analyse d'une APK l'applique au mobile. L'ensemble donne une image factuelle, chaque constat accompagné de sa localisation dans le fichier.

Ne pas créer la fuite en auditant

La nuance de la FAQ de REA compte double ici. L'analyse tourne sur votre machine, mais un agent branché sur un modèle hébergé transmet les résultats d'outils (pseudocode, chaînes, extraits) au fournisseur du modèle. Pour un logiciel sensible, ou un code qui ne doit pas sortir, l'audit se fait avec un modèle exécuté chez vous. Aikido Security a montré en septembre 2026 qu'un modèle de sécurité à poids ouverts tient dans un réseau coupé d'internet, sur quatre GPU H200 ; notre article sur Aikido Altar en détaille les chiffres et les limites.

Le confinement s'applique aussi au binaire analysé : REA n'est pas un bac à sable, et ouvrir un fichier non fiable délègue son analyse au moteur local avec vos permissions². Voir comment confiner l'analyse.

Les limites à assumer

L'analyse montre le comportement local et le trafic sortant. Elle ne dit rien de ce que l'éditeur fait des données une fois sur ses serveurs, ni de qui peut y accéder. Elle ne remplace ni une clause contractuelle de localisation des données, ni un hébergement qualifié, ni une évaluation juridique de l'exposition aux lois étrangères. Elle vérifie ; elle ne garantit pas. La clause de non-responsabilité de REA le rappelle pour tous les usages : décompilation et analyse assistée par IA « may be incomplete or incorrect »³.

Le cadre pour un acheteur public

Pour un acheteur public, l'audit nourrit l'analyse du besoin et les vérifications préalables sur le fournisseur. Le III de l'article L122-6-1 du Code de la propriété intellectuelle, qu'une clause de licence ne peut pas écarter, permet à l'utilisateur légitime d'observer, d'étudier et de tester le fonctionnement du logiciel afin d'en déterminer les idées et principes, lors des opérations de chargement, d'affichage, d'exécution, de transmission ou de stockage qu'il est en droit d'effectuer. La décompilation n'est prévue que pour l'interopérabilité (IV) ou, selon l'arrêt Top System, la correction d'erreurs. Un audit de souveraineté s'appuie donc d'abord sur l'observation, comme la capture réseau d'une exécution autorisée ; décompiler le logiciel pour l'auditer demande en principe l'accord de l'éditeur, par exemple une clause d'audit négociée au marché. C'est un point d'attention à faire valider par votre juriste. Notre page sur les clauses de licence nulles en France et le hub juridique du dossier détaillent la frontière. Pour un composant livré sans inventaire, voir aussi l'audit d'un binaire fournisseur et le Cyber Resilience Act.

Questions fréquentes

Peut-on auditer un logiciel extra-européen sans son code source ?

Son comportement observable, oui : capture réseau d'une exécution autorisée dans un environnement confiné, et analyse statique du binaire dans le cadre que la licence et la loi permettent, à valider avec votre juriste.

L'audit garantit-il la souveraineté ?

Non. Il vérifie ce que le logiciel fait localement et ce qu'il envoie. Il ne remplace ni l'hébergement, ni les clauses contractuelles, ni l'analyse juridique.

Faut-il un modèle local pour auditer ?

Pour un logiciel ou un code sensible, oui : avec un modèle hébergé, les résultats d'outils partent chez le fournisseur du modèle.

Est-ce utile pour un marché public ?

Oui, pour documenter les vérifications préalables sur le fournisseur et objectiver un critère de sécurité, dans le cadre fixé avec votre juriste.

L'offre AI Cyber analyse en boîte blanche le code source dont vous disposez et, pour un logiciel tiers, son comportement observable, avec des modèles exécutables chez le client ou chez un hébergeur souverain, pour que le code et les résultats restent sous votre contrôle.

Sources

1. morluto/rea, README (tableau « What you can analyze » et FAQ « Does REA upload my app? ») — github.com/morluto/rea, consulté le 19 octobre 2026.
2. morluto/rea, SECURITY.md — github.com/morluto/rea, consulté le 19 octobre 2026.
3. morluto/rea, DISCLAIMER.md — github.com/morluto/rea, consulté le 19 octobre 2026.