« Mentalité de loser » : le patron de Proton se défend sur Reddit, sans vraiment démentir

Le CEO et cofondateur de Proton, Andy Yen, a choisi Reddit pour répondre au média américain 404 Media. Dans un commentaire publié sur le forum r/ProtonMail, sous un fil consacré à l’enquête parue ce jeudi 29 octobre, il assure que sa citation a été « sortie de son contexte ».

Pourtant, il ne nie pas avoir écrit « conneries » et « mentalité de loser » à un salarié qui demandait quelques jours de test d’intrusion avant une mise en production, comme nous l’expliquions lorsque nous avons relayé l’enquête américaine. Sur le fond, il assume : chez Proton, qui revendique plus de 100 millions de comptes, quelques jours de relecture humaine en plus avant une mise en ligne ne sont plus jugés utiles. Il assure pourtant que l’entreprise garde « toujours » une relecture humaine.

Andy Yen affirme que Proton fait aujourd’hui « bien plus de revue de sécurité » qu’à n’importe quel moment de son histoire. Il ajoute que toute l’industrie voit sortir des bugs critiques « presque tous les jours », et cite « le récent bug PHP ». C’est une référence à PHP2Shell, deux failles corrigées le 21 octobre qui permettaient de prendre la main sur un serveur web à distance.

Pour Andy Yen, « plusieurs jours supplémentaires de relecture humaine » ne sont donc pas la bonne réponse. Selon lui, la relecture humaine, désormais « augmentée par l’IA », est devenue « exceptionnellement bonne » pour repérer des failles.

Des IA « non alignées », sans plus de détails

Andy Yen révèle aussi que Proton utilise « depuis un certain temps » des « modèles non alignés avec des compétences personnalisées » pour passer son code au crible. Dans le jargon de l’IA, l’alignement désigne l’entraînement qui pousse un modèle à respecter des règles, par exemple refuser d’écrire un programme d’attaque. Un modèle non aligné n’a plus ces freins, ce qui lui permet de s’attaquer à un code comme le ferait un pirate. Les « compétences personnalisées » font sans doute référence aux skills, ces instructions qu’on ajoute à un agent IA pour lui confier une tâche précise.

Andy Yen ne précise pourtant pas de quels modèles il s’agit, ni où ils tournent : sur les serveurs de Proton ou chez un prestataire. Pour une entreprise qui vend de la confidentialité, la question compte, d’autant que le code de Proton est déjà écrit en bonne partie avec Claude, l’IA américaine d’Anthropic. Il juge aussi l’approche « meilleure, et aussi plus rapide ». Or l’enquête de 404 Media rapporte qu’un ingénieur avait prévenu, dans la même conversation Slack, que l’IA ne réglerait rien « parce que la sécurité est basse dans nos priorités actuellement ».

Rien sur les embauches ni sur les finances

Andy Yen ne revient pas, en revanche, sur son message Slack qui faisait de 2026 la dernière année où Proton embauche des ingénieurs. Il ne dit rien non plus du document interne selon lequel Proton va rater son objectif de revenu annuel récurrent, faute de « vélocité suffisante », et reste « une entreprise qui sous-performe ». Pour 404 Media, c’est justement cet objectif de revenus qui pousse Proton à foncer sur l’IA.

Proton avait déjà réagi sur Reddit en début de semaine, après un premier article de 404 Media sur les entretiens de ses salariés sur l’usage de l’IA.

L’entreprise y affirmait ne pas faire « de licenciements en prenant l’IA comme excuse » et disait recruter dans toutes ses équipes. Ces entretiens sur l’usage de l’IA, que les salariés interrogés par 404 Media voient comme une menace sur leur poste, auront lieu du 4 au 11 novembre.