Entre iCloud et iMessage, les pratiques internes d’Apple questionnées par l’affaire OpenAI

Alors qu’Apple est en pleine bataille judiciaire avec ses anciens employés partis chez OpenAI, les accusant d’avoir emporté des milliers de documents confidentiels de l’entreprise avant leur départ, certains anciens employés remontent des pratiques mettant à mal la politique de confidentialité de Cupertino, comme le rapporte The Information.

Les secrets industriels couvrant l’ensemble des activités matérielles d’Apple constituent l’un des actifs de propriété intellectuelle les plus précieux du monde des affaires américain.

C’est par cette phrase percutante qu’Apple évoque la valeur inestimable des fichiers qui auraient été volés sur ses serveurs par les anciens employés partis chez OpenAI. Si la phrase tombe sous le sens pour une entreprise telle qu’Apple, certaines de ses pratiques peuvent surprendre, tant elles compliquent la séparation entre travail et vie privée.

Depuis ses débuts, Apple met en avant le fait que ses salariés utilisent au quotidien les mêmes appareils que ceux vendus au grand public. Si l’idée peut sembler séduisante sur le papier, elle montre rapidement ses limites. En effet, beaucoup d’utilisateurs de produits Apple pourront s’en rendre compte, il est très complexe d’utiliser deux comptes iCloud séparés sur un même appareil, et c’est même impossible pour certaines fonctions. Un iPhone ne peut être lié qu’à un seul et unique compte iCloud pour la plupart des fonctions.

C’est pourtant le principe utilisé par Apple, comme le rapportent plusieurs employés ayant quitté l’entreprise. À leur arrivée dans l’entreprise, il leur est proposé de rattacher leur compte iCloud personnel à leur identifiant Apple interne, ce qui permet notamment de bénéficier des 2 To de stockage iCloud proposés aux salariés, même aux postes les plus modestes (je peux d’ailleurs en témoigner pour avoir moi-même travaillé chez Apple). Si les employés de base des Apple Store ont interdiction d’utiliser leurs appareils personnels pour stocker des documents internes, ce n’est, selon les retours collectés par The Information, pas le cas pour les ingénieurs de Cupertino.

Les ingénieurs de l’Apple Park en viennent ainsi à partager des documents internes via leur compte iCloud, voire directement par iMessage. Si cette pratique n’est pas un souci tant que l’employé reste dans l’entreprise, la séparation une fois la démission actée n’en est que plus complexe : un responsable de la sécurité doit alors passer en revue tous les appareils personnels de l’employé, afin de s’assurer qu’aucun document interne ne soit resté dessus.

Si cette procédure semble respectée à la lettre dans les plus hauts rangs, le contrôle des ingénieurs de plus bas niveau apparaît beaucoup moins sévère, pouvant donner lieu à des situations ubuesques : certains retours montrent que des employés ayant quitté Apple depuis plusieurs mois s’aperçoivent qu’ils ont toujours accès à certains documents partagés grâce à Pages ou Numbers, et reçoivent même des notifications quand ces documents sont mis à jour par leurs ex-collègues. Si l’idée la plus sage serait de remonter cette brèche, le côté très possessif d’Apple empêche ce retour. De nombreux anciens employés expliquent ainsi préférer garder le silence, de peur que Cupertino ne retourne la situation contre eux et n’engage une procédure judiciaire pour vol ou conservation de données confidentielles.

Une Apple très procédurière contre ses anciens employés

Les cas sont en effet légion : Apple a une fâcheuse tendance à se retourner contre ses anciens employés au moindre doute, même diffus.

C’est ainsi qu’en 2019, Cupertino a poursuivi Nuvia, petite start-up de création de processeurs pour data-centers, accusant son co-fondateur Gerard Williams d’avoir emporté avec lui des documents internes, et d’avoir recruté parmi ses collègues alors même qu’il travaillait encore pour Apple. La plainte portée par les avocats d’Apple contenait de nombreux détails sur les communications personnelles de Williams avec d’autres personnes, y compris extérieures à l’entreprise : Cupertino a ainsi recensé 88 appels pour un total de 2 361 minutes, entre autres, passés par Williams avec les deux autres co-fondateurs de Nuvia.

Trois anciens d'Apple vont développer des puces pour serveurs

L’ancien ingénieur a immédiatement contre-attaqué en indiquant qu’Apple avait violé le secret de ses communications privées, ses avocats indiquant « une violation surprenante et inquiétante de sa vie privée ». Cela ne veut pas dire pour autant que Cupertino a eu accès au contenu des messages privés de son ex-ingénieur. Apple n’a jamais indiqué comment elle avait obtenu ces informations, mais Gerard Williams utilisait encore un appareil et des services gérés par l’entreprise au moment des faits. Entre les profils d’entreprise, les journaux liés aux appareils professionnels ou encore les relevés de téléphonie, plusieurs sources de métadonnées peuvent permettre d’établir la liste de communications, sans pour autant accéder à leur contenu.

En 2021, ce sont des anciens employés partis chez Rivos qui ont fait les frais des avocats d’Apple. S’ils avaient pris des précautions particulièrement fortes avant de partir, préférant discuter à travers Signal plutôt qu’iMessage, ou s’efforçant de laisser tout document interne sur le dossier dédié de leur compte iCloud (dossier effacé automatiquement à leur départ de Cupertino), Apple les a tout de même poursuivis, arguant que de nombreux fichiers ont été déplacés sur clés USB, ou à travers leur compte iCloud personnel.

Nuvia : l'ancien architecte des puces iPhone accuse Apple de vouloir « étouffer » l'innovation

Dans les deux cas, Apple s’est finalement entendue avec les entreprises et leurs employés au travers d’un accord confidentiel. Cependant, le mal était fait : la réputation procédurière d’Apple a suffi à refroidir de nombreux candidats. Les deux entreprises ont ensuite rencontré davantage de difficultés à recruter d’anciens salariés de Cupertino, ce qui a en partie freiné leur développement.

Le cas OpenAI

Si les deux précédentes entreprises ont recruté quelques dizaines d’employés tout au plus, OpenAI a opéré à un tout autre niveau : plus de 400 anciens employés d’Apple ont rejoint les rangs de la société de Sam Altman, venant de nombreux départements différents de l’Apple Park.

Bien entendu, ces employés ont « profité » des mêmes failles que leurs prédécesseurs : comme lors d’affaires précédentes, certains documents pouvaient rester associés à un compte iCloud personnel, d’autres ont été partagés par iMessage, et la procédure de sécurité n’a pas forcément été suivie à la lettre pour les ingénieurs les plus anonymes. Cependant, Cupertino accuse particulièrement Tang Tan et Chang Liu d’avoir recherché activement des failles dans la sécurité de Cupertino, que ce soit par manque de contrôle ou même par l’utilisation de brèches dans les serveurs de l’entreprise, afin de s’approprier du contenu confidentiel.

Apple poursuit OpenAI et plusieurs anciens employés de Cupertino pour vol de secrets industriels

Ainsi, Apple accuse Chang Liu d’avoir exploité une faille « rare et inconnue à l’époque » sur les serveurs internes afin d’accéder aux dossiers partagés de l’entreprise après l’avoir quittée, téléchargeant des dizaines de fichiers confidentiels avant de s’en vanter auprès d’un collègue. Tan, de son côté, aurait envoyé sur son adresse e-mail personnelle de nombreux documents internes avant son départ, et une fois en poste chez OpenAI, aurait sollicité les nouveaux arrivants pour qu’ils récupèrent un maximum de documents. Apple prend soin de préciser qu’elle n’a en aucun cas tenu rigueur de documents oubliés par mégarde sur un compte iCloud personnel :

Cette affaire concerne des employés d’OpenAI qui se sont illicitement approprié des informations secrètes et confidentielles d’Apple portant sur des technologies, des procédés et des produits qui n’ont pas encore été dévoilés. Rien dans cette plainte ne concerne des documents partagés ou stockés sur iCloud.

Apple accuse aussi d’anciens employés partis chez OpenAI d’avoir sciemment ignoré les procédures de sécurité, ne se présentant pas pour la vérification obligatoire de leurs appareils personnels : « Apple a constaté une tendance récente chez des employés quittant l’entreprise pour rejoindre OpenAI et prenant des mesures pour contourner les dispositifs de sécurité », indique la plainte d’Apple. « Cela inclut le fait d’ignorer les sollicitations des équipes de sécurité visant à organiser les procédures de départ et les contrôles de sécurité. »

Apple contre OpenAI : les dessous d’une guerre qui ne fait que commencer

Entre oublis involontaires et fuites sciemment organisées

Si Apple semble avoir été particulièrement (et injustement ?) suspicieuse dans certains cas, l’affaire met finalement en lumière deux problèmes bien différents. D’un côté, des procédures internes qui rendent parfois difficile la séparation entre vie personnelle et professionnelle, au point que certains documents peuvent rester accessibles des mois après un départ. De l’autre, les accusations visant Tang Tan et Chang Liu, qui décrivent non plus un simple oubli, mais une volonté délibérée d’organiser une fuite de données confidentielles. Entre les deux, Apple va probablement devoir revoir en profondeur des méthodes de travail vieilles de plusieurs décennies.