Faille Titan, fuite au DMDC et amende dans le New Jersey : le risque des centres de données quitte l'étage informatique

La faille Titan compte pour ce qui manquait. Selon The Register du 30 septembre, le service validait le contenu d'un jeton JSON Web, notamment le tenant, l'audience, l'ID d'application et l'utilisateur, mais ne vérifiait jamais la signature du jeton. Le chercheur Faav, avec un outil d'IA qu'il a développé et baptisé Antares, est entré dans l'API via un hôte Azure Cloud Services et pouvait soumettre du SQL sans identifiants valides. Microsoft a depuis verrouillé l'API et versé 5 000 dollars au titre du programme de primes aux bugs.

Le blog de Faav, cité par The Register, décrit le moment où l'accès a fonctionné : « Il était 2 h du matin. » Il raconte aussi avoir réécrit l'article à la demande de Microsoft, en supprimant des passages et des chiffres. La déclaration de Microsoft, fournie à Faav pour ce blog, indique que la divulgation « nous a aidés à mieux protéger nos clients en renforçant nos services ».

L'électricité et le refroidissement passent au premier plan

Le même jour, deux nouvelles d'infrastructure sont tombées, sans lien avec le logiciel. Data Center Knowledge rapporte une amende de 1 070 000 dollars infligée par le département de la protection de l'environnement du New Jersey à un exploitant de Vineland nommé DataOne. L'État lui reproche d'avoir installé et exploité 62 générateurs au gaz naturel sans les permis requis. Un responsable de l'État a annoncé la mesure le 22 septembre, selon le média. DataOne conteste la conclusion sur les générateurs temporaires mais indique qu'elle demandera des permis atmosphériques, d'après le New Jersey Monitor.

« Les centres de données d'IA deviennent de plus en plus des centrales électriques autant que des installations de calcul », a déclaré Abhijit Sunil, analyste senior chez Forrester, à Data Center Knowledge. Il ajoute que l'infrastructure d'IA « peut désormais être déployée plus vite que les procédures traditionnelles de permis et d'inspection n'ont été conçues pour le contrôler ». Le même article cite Luis Fernandes, d'IDC : une enquête mondiale auprès des exploitants place l'efficacité énergétique et les énergies renouvelables parmi les principales priorités de résilience et de durabilité. Les deux comptes ne se contredisent pas, mais ils cadrent le problème différemment. L'un traite la production sur site comme un risque de conformité, l'autre comme une préférence d'achat.

La transparence, elle, devient plus difficile à mesurer, pas plus facile. POLITICO rapporte le 30 septembre que Lighthouse Reports a déposé une plainte au titre de la convention d'Aarhus, accusant la Commission européenne de soustraire à l'examen public la consommation d'énergie et d'eau des centres de données. Les chiffres de la Commission, cités par POLITICO, situent les centres de données européens à 20,7 térawattheures d'électricité en 2025, soit à peu près ce que consomme la Croatie, et à plus de 8 000 000 de mètres cubes d'eau. Cela représente une hausse de 26 % de l'électricité et de 52 % de l'eau par rapport à 2024. Ces totaux proviennent de données incomplètes et ne sont publiés qu'en agrégé.

NL Times rapporte le même jour que moins d'un quart des grands centres de données néerlandais publient leurs chiffres d'électricité et d'eau potable. L'Agence néerlandaise des entreprises ne dispose de données que sur 104 des 186 installations commerciales d'au moins 500 kW recensées par l'association néerlandaise des datacenters à la fin de l'année dernière. Des chiffres publics existent pour la consommation d'électricité de 44 d'entre elles et pour l'eau de 47.

« Retirer de la pression du réseau n'élimine pas un coût environnemental. » Abhijit Sunil, Forrester, à Data Center Knowledge

Dans la baie, la pile de refroidissement se divise et se multiplie

Le versant matériel du même problème se fragmente en couches. SUNON a profité de l'aperçu du OCP Global Summit pour organiser une gamme de refroidissement liquide autour de trois niveaux : puce, serveur et baie, selon TechEdge AI. L'événement se tient du 12 au 15 octobre à San José. Le même article cite Gartner, qui prévoit 565 térawattheures de consommation électrique des centres de données en 2026, en hausse de 26 % par rapport à 2025. Les serveurs optimisés pour l'IA en prendraient 31 % cette année et dépasseraient les serveurs classiques en 2027. Le chiffre de l'AIE dans le même texte diffère par son périmètre : environ 415 TWh en 2024, soit à peu près 1,5 % de l'électricité mondiale.

Upsite Technologies fait un constat proche sur l'endroit où se trouve réellement la chaleur. Son analyse note que les conceptions à plaque froide ne se limitent plus aux GPU, car les puces réseau qui les entourent chauffent désormais assez pour exiger du liquide. Le Tomahawk 6 de Broadcom prend en charge jusqu'à 102,4 Tb/s de capacité de commutation sur une seule puce, et le Silicon One G300 de Cisco offre 102,4 Tbps avec des SerDes à 200 Gbps. La plateforme Vera Rubin de Nvidia, selon le même texte, est annoncée comme réduisant jusqu'à 10 fois le coût d'inférence par token face à Blackwell.

Les fabricants sont venus avec des chiffres produits à Data Center World Asia, à Singapour, les 29 et 30 septembre. Midea Building Technologies, d'après Thermal Control Magazine, présente une CDU magnétique qui, selon l'entreprise, réduit l'empreinte des équipements jusqu'à 70 % et permet un PUE système inférieur à 1,2 dans de bonnes conditions. Elle expose aussi un refroidisseur centrifuge à paliers magnétiques refroidi à l'air avec un COP allant jusqu'à 5,4 et une CDU de qualité industrielle de 2,6 MW. Son projet de Gui'an, lié à Keppel, revendique jusqu'à 7 654 heures de free cooling par an à un PUE stable inférieur à 1,2. LG Electronics, dans son propre communiqué, décrit une gamme « Chip-to-Chiller » comprenant des solutions hydroniques préfabriquées, des refroidisseurs centrifuges refroidis à l'air, des unités de distribution de liquide de refroidissement qualifiées par Nvidia, du refroidissement par immersion et des unités à paroi ventilée.

Ce sont des chiffres marketing venus des entreprises elles-mêmes, et il faut les lire comme tels. Les références indépendantes sont moins flatteuses. Data Center List, s'appuyant sur l'enquête 2024 de l'Uptime Institute, situe le PUE moyen à 1,56 sur les installations déclarantes, contre 1,09 chez Google et 1,17 chez Microsoft à l'échelle de la flotte. Le même jeu de données suit 6 125 installations dans 183 pays, dont 72 publient leur capacité : 29,00 GW de capacité informatique déclarée plus 7,27 GW estimés sur 843 sites supplémentaires, ce qui implique environ 45,23 GW de consommation totale des installations au PUE moyen du secteur.

La file d'attente du réseau, et qui finit par payer

Le Texas offre le test le plus net de qui supporte le coût. Inside Climate News rapporte le 30 septembre que des juges administratifs de la commission des services publics du Texas ont conclu qu'El Paso Electric n'avait pas examiné suffisamment d'alternatives à une installation au gaz naturel de 366 mégawatts, appelée McCloud. Cette installation doit alimenter le centre de données de 1 gigawatt de Meta, d'un coût de 10 000 000 000 de dollars, dans le nord-est d'El Paso. Les juges recommandent l'approbation à la seule condition que le distributeur ne répercute pas les coûts d'investissement et d'exploitation sur les abonnés, et recommandent le refus dans le cas contraire. Les cinq commissaires n'ont pas programmé de vote.

Les détails du dossier sont précis. El Paso Electric a déposé en décembre une demande pour construire l'installation à partir de 813 générateurs modulaires au gaz naturel fournis par Enchanted Rock, chacun d'une puissance de 450 kilowatts, pour un coût estimé à 499 000 000 de dollars. L'installation alimenterait Meta exclusivement pendant cinq ans avant de se raccorder au réseau de transport plus large. Les juges écrivent que Wurldwide, une filiale de Meta nommée dans la demande, a piloté le processus. « Nous sommes déçus », a déclaré Verónica Carbajal, de la coalition Sembrando Esperanza, qui a soumis les commentaires de plus de 1 000 personnes opposées à la demande.

Le Missouri montre le même schéma à l'échelle des distributeurs. CleanTechnica rapporte le 29 septembre qu'Ameren Missouri a déposé auprès de la commission des services publics du Missouri un plan à long terme. Ce plan ajouterait 5 400 MW de gaz d'ici 2032, soit une hausse de 1 700 MW, retarderait les fermetures de centrales à charbon, dont Sioux jusqu'en 2035 et deux unités de Labadie de six ans jusqu'en 2042, et réduirait de 900 MW les investissements solaires d'avant 2030, à 1 300 MW, tout en supprimant tout nouveau projet éolien avant 2030. Jenn DeRose, du Sierra Club, estime qu'Ameren et les entreprises technologiques « jouent l'avenir de l'humanité en alimentant les centres de données au charbon et au gaz ».

Le traitement fiscal est l'autre bout du même registre. The Decoder rapporte le 30 septembre, citant le New York Times, que Meta a économisé 3 900 000 000 de dollars en 2025 grâce à un crédit fédéral à la recherche, en classant ses centres de données d'IA comme modèles pilotes et les puces Nvidia comme matériaux expérimentaux. C'est plus que les 2 000 000 000 de dollars de 2024 et les 700 000 000 de dollars de 2023. Les propres documents déposés par Meta auprès de la SEC avertissent que ces économies pourraient être contestées, et sa réserve pour positions fiscales incertaines a augmenté de 45 % pour atteindre 18 740 000 000 de dollars, selon le rapport.

Le risque de sécurité n'est pas resté dans le périmètre non plus. TechCrunch rapporte le 30 septembre que le Defense Manpower Data Center prévient des millions de militaires en activité et anciens que des données personnelles, dont des numéros de sécurité sociale, ont été dérobées sur plusieurs mois entre octobre 2025 et la mi-juillet 2026 via une faille dans un service de partage de fichiers. Un responsable du Pentagone avance le chiffre d'environ 2 800 000 personnes vivantes et près de 300 000 décédées, selon CNN et Federal News Network. Les dossiers n'étaient pas chiffrés. L'armée américaine comptait 1 300 000 militaires en activité en mars.

Lus ensemble, les révélations de la semaine pointent une seule réalité opérationnelle : la contrainte sur la capacité d'IA n'est plus seulement le silicium. C'est un permis, une vérification de signature, un jeton, un poste de transformation, un compteur d'eau et une déclaration fiscale. Aucun de ces éléments ne se trouve dans la baie. Tous décident désormais si la baie tourne.