Jailbreak de la Switch 2 : comment un hacker a utilisé l’IA et une appli à 25 $

La sécurité de la Switch 2 a été compromise. Le 22 octobre, le chercheur pepsipu a présenté un jailbreak logiciel permettant d’exécuter des programmes non officiels avec des privilèges système. Aucun modchip n’est nécessaire : la faille exploitée se trouvait dans SmileBASIC 4, une application de programmation à 24,99 $ vendue sur l’eShop de Nintendo. Pour montrer le résultat, pepsipu a partagé un mod de Mario Kart World mettant en scène Peter Griffin, Hatsune Miku et Walter White.

Pepsipu affirme que le jailbreak lui a demandé environ deux semaines de travail avec Codex, d’OpenAI. Cela ne signifie pas qu’une IA a piraté la console toute seule, à partir d’une simple requête. Mais cela soulève une question : combien de travail l’IA peut-elle épargner à un chercheur expérimenté ? D’autres incidents de sécurité survenus en octobre ont alimenté les discussions autour d’un « Black October », même si beaucoup n’ont aucun lien établi avec l’IA.

Je vais examiner le travail du chercheur, la contribution de Codex au mod de Mario Kart World et ce que d’autres affaires nous apprennent sur le rôle de l’IA dans le piratage. Je m’intéresserai ensuite aux réactions des fabricants de consoles — et aux raisons pour lesquelles les mises à jour de sécurité et les bannissements peuvent parfois toucher des joueurs qui n’ont rien modifié.

Près d’un an et demi après le lancement de la Switch 2, un chercheur a montré qu’il était possible d’y exécuter des logiciels tiers avec des privilèges système. Appelé ns2jb, ce jailbreak repose entièrement sur un logiciel : ni soudure ni modchip ne sont nécessaires, et il fonctionne sur le firmware 23.0.1, la dernière version disponible au moment de sa publication.

La faille exploitée se trouvait dans SmileBASIC 4, une application qui permet de créer des jeux simples en langage BASIC. Sortie sur la Switch originale, elle fonctionne sur la nouvelle console grâce à la rétrocompatibilité. Sur l’eShop américain, elle coûtait 24,99 $ : la clé permettant d’accéder au système de la dernière console de Nintendo était donc en vente dans la propre boutique de l’entreprise, juste à côté des jeux Mario.

La démonstration était volontairement loufoque : pepsipu a publié sur X une vidéo où Peter Griffin, Hatsune Miku, Walter White et d’autres personnages sans aucun lien avec Nintendo s’affrontent sur les circuits de Mario Kart World. La nouvelle du jailbreak s’est répandue le jour même, mais l’élément le plus important de l’histoire n’apparaît pas dans la vidéo.

D’après l’auteur, cité par XDA , le jailbreak lui-même a demandé environ deux semaines de travail intensif, tandis que l’IA a créé le mod de Mario Kart World en une journée. Pour savoir quelle part du mérite revient à l’IA dans ce piratage, il faut toutefois s’intéresser aux coulisses du travail de pepsipu.

La version la plus répandue de l’histoire ressemble à une blague. Une publication virale de l’utilisateur de X chasm, vue plus de 200 000 fois, prétend que l’auteur aurait simplement écrit : « set a goal to jailbreak the switch 2. make no mistakes. » Cette phrase figure bien sur le blog de pepsipu, mais uniquement comme légende humoristique sous une photo ; juste en dessous, l’auteur précise : « Non, c’est juste une légende idiote. » La véritable histoire est bien plus longue.

Tout a commencé par la préparation du terrain. L’auteur a monté un banc de test autour d’une Switch originale et d’une Switch 2 « pour que Codex puisse, idéalement, jailbreaker la Switch 2 sans moi ». En clair, un humain a donné à l’IA les moyens d’appuyer sur les boutons de la console et d’observer ce qui s’affichait à l’écran. Concevoir un tel dispositif demande une grande expérience des consoles.

Deuxième point : l’IA n’a pas réussi du premier coup. Selon l’auteur, Codex n’a pas atteint son premier objectif, et un agent distinct, chargé de s’introduire dans la console par son navigateur Web intégré, n’a pas avancé. Pendant ce temps, un autre agent étudiait SmileBASIC et y a découvert un bogue qui a fourni à l’IA son premier point d’entrée dans le système.

Enfin, à la dernière étape, l’humain et l’IA ont travaillé en équipe. L’auteur a confié à plusieurs instances de Codex la mission d’atteindre les modules système de la console. De son côté, pepsipu a étudié le fonctionnement de cette partie du système et extrait des données pour que l’IA puisse les analyser. Les découvertes de Codex ont également contribué à cette étape de l’attaque, et l’auteur emploie le « nous » pour en décrire le résultat. Le jailbreak reste toutefois limité : chaque redémarrage coupe l’accès au système, et il faut donc relancer l’exploit.

L’auteur énumère les possibilités offertes par le jailbreak : exécuter des homebrews (des logiciels non officiels créés par des passionnés), examiner et modifier les jeux Switch 2, et sauvegarder les fichiers de sauvegarde. Le blog ne parle pas de piratage de jeux, mais Kotaku fait remarquer que lorsqu’on peut exécuter des homebrews, il est aussi potentiellement possible de lancer des copies piratées. Gezine, chercheur reconnu en sécurité des consoles, n’a pas prétendu avoir testé le jailbreak lui-même. Dans une publication sur X, il a simplement dit avoir échangé avec l’auteur et conclu que le travail « semble légitime ».

L’IA ressemble donc ici à un apprenti particulièrement appliqué auprès d’un artisan chevronné : elle teste des pistes plus vite qu’un humain, mais l’artisan construit son établi et décide de la suite. Reste à savoir à quel point le processus a été accéléré par rapport aux piratages de consoles réalisés sans IA.

Le chiffre de « deux semaines » semble condamner la sécurité de Nintendo, mais il correspond à la durée du travail de pepsipu, pas au temps pendant lequel la console a résisté. La Switch 2 est sortie le 5 juin 2025 et a tenu environ seize mois et demi avant l’arrivée de ns2jb. Un exploit limité, qui affichait une image non autorisée à l’écran, avait été présenté le jour du lancement, mais il était encore loin de permettre l’exécution de logiciels tiers avec des privilèges système.

À titre de comparaison, l’exécution de code via le navigateur intégré de la Switch originale a été démontrée moins de deux semaines après son lancement. En avril 2018, près de quatorze mois après sa sortie, des chercheurs ont révélé une vulnérabilité de la puce Nvidia Tegra X1 impossible à corriger par une mise à jour sur les consoles déjà vendues. La PS4 faisait tourner Linux lors d’une conférence de hackers deux ans après sa commercialisation ; la PS3 a été piratée après plus de trois ans, et il a fallu plus de dix ans pour que la Xbox One atteigne un stade comparable.

La Switch 2, piratée avec l’aide de l’IA, a donc tenu plus longtemps que sa prédécesseure, qui avait été piratée sans aucune IA. Cela signifie-t-il que l’IA n’a rien changé ? Elle a changé autre chose : qui peut mener ce genre de travail à bien, et en combien de temps. Les piratages bien connus de la PS4 et de la Switch originale ont été réalisés par des équipes (fail0verflow et ReSwitched, respectivement), tandis qu’ici, selon l’auteur, une seule personne a réussi avec l’aide de l’IA en environ deux semaines.

Comparer directement les délais est délicat, puisque chaque console a ses propres protections et que le terme « jailbreak » recouvre des réalités très différentes. Il suffit néanmoins de regarder du côté de PlayStation pour voir que l’IA est déjà devenue un outil de travail.

À l’automne 2026, les applications homebrew pour PS5 se succèdent. Le jailbreak public Relapse est sorti le 29 septembre et fonctionne sur les firmwares 7.00 à 13.60, c’est-à-dire sur les consoles qui n’ont pas été mises à jour vers le firmware 14.00, publié à la mi-septembre. Nous l’avons présenté en détail dans notre article « Jailbreak PS5 : ce que propose Relapse et les risques encourus ».

Aucune des sources que nous avons consultées ne relie Relapse à l’IA. Nous n’avons trouvé aucune confirmation des publications virales affirmant que quelqu’un aurait utilisé l’IA pour percer la sécurité de la PS5 en quelques semaines, et un article d’explainx.ai qualifie directement cette affirmation de non vérifiée. L’IA intervient ensuite, une fois la console déverrouillée, lorsque les utilisateurs commencent à créer de nouveaux logiciels.

L’exemple le plus parlant est un émulateur PS2 créé par un développeur connu sous le nom de Sword pour les PS5 jailbreakées. En octobre, l’émulateur a ajouté la prise en charge de l’exécution de jeux PS2 sur disque, y compris directement depuis le lecteur de la console. L’historique public des contributions au projet désigne Claude, l’IA d’Anthropic, comme coauteur de presque chaque modification. L’émulation repose toutefois sur PCSX2, un émulateur développé depuis plus de vingt ans : l’IA s’appuie donc sur le travail de quelqu’un d’autre.

Trois autres histoires du même genre ont fait surface en l’espace d’un mois, et toutes trois mentionnent Claude. Selon Tom’s Hardware, Claude a contribué en partie à la création d’une application de jeu en nuage Xbox pour les PS5 jailbreakées. Dans un article du 18 octobre, le média allemand PCGH a calculé que les modèles Claude signent 97 % des modifications attribuées à un coauteur IA dans AnyPS5, un programme permettant de jouer aux jeux PS5 sur PC. Overdrive, une « boutique » pirate pour PS5, aurait également été créée avec Claude, selon TechSpot, avant de fermer à la suite d’une lettre des avocats de Sony. Ni Sony ni le créateur de la boutique n’ont toutefois confirmé ces informations.

Le même phénomène dépasse le cadre des consoles. Kotaku rapporte que des « centaines » d’émulateurs et de portages de vieux jeux accessibles dans un navigateur sont apparus en quelques semaines, de Halo: CE à GTA: Vice City, et relie cette vague à Claude Opus 5.5. « C’est un jeu de tape-taupe autour de la protection de la propriété intellectuelle à une échelle que je ne crois pas avoir vue depuis l’apparition des DVD piratés », écrit Lewis Parker, de Kotaku.

La vague d’IA a aussi touché des amateurs qui ont passé des années à reconstituer à la main le code source de vieux jeux : decomp.dev, le principal catalogue de projets de la communauté, a fermé son index. Son communiqué indique qu’à partir de la sortie d’Opus 4.6 et de GPT-5.4, début 2026, les modèles semblaient déjà connaître les outils de la communauté, même si leurs résultats nécessitaient encore « beaucoup de corrections humaines ». Les modèles plus récents, comme GPT-6-Astra, « ont encore changé la donne ». Jusqu’à présent, tout cela concernait les émulateurs et les vieux jeux, mais en octobre, l’IA a également fait parler d’elle dans des affaires touchant l’ensemble d’Internet.

Le 22 octobre, le compte de mèmes AISafetyMemes a publié un message vu plus de 2 millions de fois, présentant les 48 heures précédentes comme les plus graves de l’histoire de la cybersécurité. Il énumérait ensuite 27 incidents, allant de deux vulnérabilités PHP à une fuite de données clients dans la plus grande banque d’Inde. Selon 404 Media, certains professionnels de la sécurité ont bel et bien commencé à parler de « Black October » pour décrire la situation.

Presque tous les incidents de la liste sont réels, mais ils ne se sont pas tous produits au cours de ces 48 heures. Au moins dix sont antérieurs : l’attaque du serveur de mise à jour des logiciels AOMEI s’est déroulée d’avril à juillet, tandis qu’un incident concernant des données médicales en Californie remonte à octobre 2025. Autrement dit, la liste a été constituée à partir de rapports publiés sur deux ou trois semaines, et certains incidents sont bien plus anciens.

Reste la question du rôle de l’IA. Seuls six des 27 incidents présentaient un lien direct avec l’IA et, d’après les informations publiques, l’IA a aidé à découvrir des vulnérabilités ou à mener une attaque dans seulement deux d’entre eux. Dans les quatre autres, un produit d’IA a été lui-même attaqué ou a subi une fuite de données, ou bien les pirates ont ciblé des clés d’accès à des services d’IA. Railway, la plateforme cloud touchée dans l’un de ces quatre cas, a toutefois indiqué dans un rapport préliminaire que l’attaquant disposait apparemment à la fois de modèles d’IA dont les garde-fous avaient été supprimés et de ressources de calcul considérables. L’IA a donc peut-être aussi contribué à cette attaque. Enfin, comme le souligne TechCrunch, nombre d’incidents de la liste n’ont aucun lien entre eux.

La plus importante des deux affaires concerne PHP2Shell, deux vulnérabilités critiques du langage de programmation PHP, qui, selon W3Techs, équipe environ 70 % des sites web dont le langage côté serveur est connu. Les deux failles ont été évaluées à 9,2 sur 10 en termes de gravité, et des correctifs ont été publiés le 21 octobre. D’après OpenAI, la société de sécurité Calif a découvert l’une des failles à l’aide du modèle GPT-5.6 Sol, dans le cadre du programme d’OpenAI consacré à la recherche de vulnérabilités dans les projets open source ; les développeurs de PHP en ont été avertis à l’avance. Des chercheurs de Wiz ont découvert les deux failles de leur côté et, selon 404 Media, ont également bénéficié de l’aide de l’IA. Des sites web gouvernementaux aux Pays-Bas, en Finlande, en France et en Allemagne ont été temporairement mis hors ligne, tandis que l’Agence de sécurité nationale américaine et les autorités japonaises ont exhorté tout le monde à effectuer immédiatement la mise à jour.

Les joueurs ont également été touchés. Le 21 octobre, les services en ligne de la Switch originale, de la Switch 2 et de Pokémon HOME ont été interrompus pour maintenance, même si Nintendo n’a pas confirmé que PHP en était la cause. Cygames s’est montré plus transparent : son avis de maintenance des serveurs de Umamusume: Pretty Derby mentionnait directement une vulnérabilité de PHP, et les serveurs de Granblue Fantasy et de Shadowverse: Worlds Beyond ont également été mis hors ligne. GOG a lui aussi été inaccessible pendant plusieurs heures, dans le contexte de cette même alerte concernant PHP. Au 22 octobre, aucune attaque réussie exploitant PHP2Shell n’avait été confirmée. Toutefois, le même jour, le Centre national néerlandais de cybersécurité (NCSC) a indiqué au radiodiffuseur public NOS avoir reçu les premiers signes d’attaques réussies, sans fournir de détails.

La deuxième affaire est plus inquiétante. Selon Reuters, à partir de la fin septembre, un pirate informatique a utilisé des agents d’IA sur Cairn, une plateforme d’IA open source, pour tenter de pénétrer dans plus de 1 200 sites web, et a réussi à accéder à ceux de plus de 100 entreprises. Parmi les victimes figurait le fabricant de matériel agricole John Deere. Selon le chercheur qui a découvert les attaques, les agents semblaient fonctionner grâce à une combinaison du modèle chinois DeepSeek et de l’outil Claude Code d’Anthropic. D’après son estimation, l’IA aurait coûté environ 5 000 dollars, soit près de 50 dollars en moyenne par intrusion réussie. Reuters n’a pas pu déterminer dans quelle mesure des données avaient été dérobées, et John Deere a déclaré qu’il n’y avait « aucun signe indiquant que des informations sensibles avaient été consultées ».

Il faut donc prendre la liste du « Black October » avec des pincettes : elle rassemble des histoires sans lien entre elles et, à en juger par les sources publiques, l’IA n’est impliquée que dans une petite partie d’entre elles. Mais c’est précisément cette petite partie qui alimente un débat où les deux camps ont des arguments valables.

Le premier camp tire la sonnette d’alarme, et certaines de ses voix ont un réel poids. Dans des publications citées par 404 Media, Matthew Green, cryptographe et professeur à l’université Johns Hopkins, a qualifié l’ensemble d’Internet de « bois sec prêt à s’enflammer » et écrit que « la seule chose qui l’empêche de brûler, c’est que les adolescents n’ont pas encore trouvé les allumettes ». Snorre Fagerland, le chercheur de NorForge qui a découvert les attaques menées via Cairn, l’a formulé ainsi : « Le monde a changé. »

Le second camp estime que l’essentiel de ces alarmes relève du bruit. Dans une étude portant sur des exploits écrits par IA (des programmes qui tirent parti de failles de sécurité) pour des vulnérabilités Java, les auteurs ont vérifié le code manuellement. Dans la première version de l’article, publiée en février, 71,5 % de ces programmes se sont révélés invalides, y compris certains qui avaient passé les contrôles automatisés. La version mise à jour en septembre utilise une autre méthode, mais aboutit à une conclusion similaire : sur 116 programmes ayant réussi la validation automatisée, seuls 65 ont passé une seconde vérification. En janvier, Daniel Stenberg, fondateur du projet open source curl, a mis fin à son programme de primes aux bogues. Il a expliqué que « l’objectif principal de la suppression du programme de primes est d’empêcher les gens d’envoyer des rapports pourris », qu’ils soient générés par l’IA ou non. Le projet était submergé de signalements de piètre qualité, dont certains avaient été produits avec l’aide de l’IA.

À mon avis, les deux camps se trompent de débat. L’IA n’est pas encore un pirate informatique solitaire capable de pirater une console à partir d’une seule requête, mais ce n’est pas non plus un gadget vide qui ne produit que du déchet. Elle accélère le travail de personnes qui savent déjà pirater. Selon ses propres dires, l’auteur de ns2jb a accompli le travail avec l’IA en deux semaines environ, alors que les piratages de la PS4 et de la Switch originale ont été réalisés par des équipes. Et d’après l’estimation de Fagerland, le pirate utilisant des agents d’IA a dépensé en moyenne environ 50 dollars en frais d’IA par site piraté, soit moins que le prix d’un jeu neuf. Dan Guido, PDG de Trail of Bits, une entreprise qui participe elle-même au programme d’OpenAI consacré à la recherche de vulnérabilités, partage cet avis. Selon Guido, Trail of Bits a mis au point une attaque fonctionnelle contre les failles de PHP : Will Tan l’a « construite en un jour avec Codex, en s’appuyant sur une dizaine d’années d’expérience en sécurité des systèmes et en recherche sur les vulnérabilités ». « L’IA accélère le développement d’exploits », a écrit Guido, ajoutant que « savoir transformer un bogue en shell demande toujours une expertise » et que « l’IA rend cette expertise plus productive ».

Voilà la principale conséquence pour les joueurs. Quand le piratage devient moins coûteux, les entreprises sont susceptibles de renforcer leurs défenses, et les simples propriétaires de consoles pourraient en faire les frais. Le traitement réservé par Nintendo aux personnes ayant piraté ses consoles sans aucune IA montre clairement à quoi pourrait ressembler ce type de riposte.

L’affaire la plus connue concerne Team Xecuter, un groupe qui vendait du matériel et des logiciels permettant d’exécuter du code non officiel sur la Switch originale. En février 2022, son membre le plus connu, le Canadien Gary Bowser, a été condamné à 40 mois de prison. Bowser a plaidé coupable à deux chefs d’accusation liés à un complot visant à contourner des mesures de protection technologique et au trafic d’appareils conçus à cette fin. Il doit aujourd’hui 14,5 millions de dollars à Nintendo : 4,5 millions dans le cadre de l’affaire pénale et 10 millions à la suite d’un procès civil.

Un chiffre permet de mesurer la somme réellement perçue par Nintendo. En avril 2023, Bowser a déclaré que 175 dollars avaient été versés grâce à ses revenus en prison et qu’un maximum de 25 à 30 % de ses revenus futurs pourrait être prélevé. À ce rythme, Bowser semble devoir payer le reste de sa vie.

Ensuite, Nintendo s’en est pris aux émulateurs et, en février 2024, l’entreprise a poursuivi les créateurs de Yuzu. Nintendo a affirmé que l’émulateur facilitait le piratage « à une échelle colossale » et, en l’espace d’une semaine, les deux parties ont conclu un accord : 2,4 millions de dollars versés à Nintendo et la fermeture de l’émulateur. L’affaire n’a jamais donné lieu à un jugement sur le fond, la question de la légalité de l’émulation est donc restée ouverte. L’émulateur Ryujinx a fermé ses portes en octobre de la même année, sans procès, après que Nintendo a pris contact avec son développeur principal.

Par la suite, les poursuites ont visé les vendeurs d’appareils et les distributeurs de copies piratées. Le vendeur de MIG Switch, une cartouche permettant de lancer des jeux copiés, a accepté un jugement de 2 millions de dollars, et l’affaire a été close en septembre 2025. Le 23 septembre 2026, un tribunal a ordonné à un modérateur de la communauté r/SwitchPirates de verser 4,5 millions de dollars à Nintendo, soit 150 000 dollars pour chacun des 30 jeux. Le défendeur n’a jamais répondu à la plainte et le jugement a été rendu par défaut.

Toutes ces affaires visaient des vendeurs d’appareils, des créateurs d’émulateurs et un distributeur de copies piratées ; aucune n’a directement touché des acheteurs honnêtes. Mais Nintendo dispose aussi d’un moyen d’action qui concerne tous les propriétaires de consoles.

Depuis mai 2025, le contrat d’utilisation des comptes Nintendo en Amérique du Nord autorise l’entreprise à réagir aux infractions aux règles, comme les modifications non autorisées d’une console. Nintendo peut rendre les services en ligne ou l’appareil lui-même « totalement ou partiellement inutilisables de façon permanente », comme nous l’avions rapporté à l’époque. Le contrat ne précise pas ce que signifie réellement « inutilisable ». Pratique, c’est le moins qu’on puisse dire : la console vous appartient jusqu’au moment où l’on découvre qu’elle ne vous appartient pas tout à fait.

Les joueurs ont pu constater les effets concrets de cette politique en juin 2025. Des propriétaires de Switch 2 ayant inséré une cartouche MIG ont signalé avoir été privés d’accès à l’eShop, au jeu en ligne et aux sauvegardes dans le cloud, même si leur console continuait de fonctionner hors ligne. D’après les témoignages d’utilisateurs, des acheteurs de cartouches d’occasion pour la Switch originale ont également été pris dans les bannissements, et l’un d’eux n’a retrouvé l’accès qu’après avoir fourni une preuve d’achat.

Au 29 octobre, Nintendo n’a fait aucune déclaration publique au sujet du jailbreak, tandis que SmileBASIC 4 a été retiré des boutiques en Amérique du Nord, en Europe et au Japon. Game*Spark a confirmé le 23 octobre que le jeu n’était plus disponible à l’achat au Japon. Le dernier firmware de la Switch 2 reste la version 23.0.1 ; aucune mise à jour système corrigeant les vulnérabilités n’a été publiée à ce jour. Le retrait de l’application limite l’accès à l’exploit actuel sans corriger les failles sous-jacentes. Un correctif du firmware pourrait empêcher ce jailbreak de fonctionner sur les consoles qui l’installent.

Sony publie des mises à jour de sécurité sans donner beaucoup d’explications. Le firmware 14.10 de la PS5 est arrivé le 1er octobre et, le 19 octobre, Gezine a montré comment accéder au menu de débogage caché de cette version. Il a également indiqué que l’ancienne méthode d’extraction des fichiers exécutables ne fonctionnait plus avec le firmware 14.xx. Le firmware 14.20 a suivi le 21 octobre et reste la version la plus récente au 29 octobre. Les notes de mise à jour officielles ne mentionnent que des améliorations des messages et de l’ergonomie sur certains écrans. Pendant ce temps, le chercheur zecoxao a annoncé Prolapse, un exploit ciblant les firmwares 14.00 et 14.10. Le 26 octobre, il a publié un code préliminaire explicitement indiqué comme non fonctionnel ; aucune version publique fonctionnelle n’a encore suivi. Les rumeurs selon lesquelles GTA 6 nécessitera le firmware 14.10 ou une version ultérieure n’ont pas non plus été confirmées par Rockstar ou Sony.

Imaginons maintenant que vous ayez acheté une Switch 2 en magasin, que vous n’ayez jamais essayé de la pirater et que vous jouiez simplement à Mario Kart World le soir. Quel impact cette histoire a-t-elle sur vous ? Pour l’instant, aucun, mais les joueurs sur Reddit imaginent déjà la réaction de l’industrie : « Tout passera par le cloud. Plus de matériel ni de logiciels physiques pour les consommateurs. ... L’IA va tout gâcher. » Ce commentaire de Ragnar_Dragonfyre, publié dans un fil Reddit consacré au jailbreak de la Switch 2 (qui a recueilli près de 8 000 votes positifs), est facile à balayer d’un revers de main comme une manifestation de paranoïa, mais il n’est pas sans fondement.

Plus le piratage devient facile, plus les entreprises sont tentées de vérifier en ligne chaque console, de bannir les joueurs au moindre soupçon et de s’appuyer sur ce même droit pour rendre un appareil inutilisable. Les témoignages d’acheteurs de cartouches d’occasion montrent que des personnes n’ayant rien fait de mal peuvent se retrouver prises dans ces contrôles. Les joueurs avancent aussi un argument plus rassurant : la Switch originale est facile à émuler depuis longtemps, et elle est tout de même devenue la deuxième console la plus vendue de l’histoire ; le piratage à lui seul n’a donc pas fait couler Nintendo.

Maintenant que la console a été crackée, la grande question cet automne semble être de savoir à quel point la riposte sera sévère et qui en fera les frais. On y verra plus clair lorsque Nintendo répondra à ns2jb par une mise à jour système ou de nouveaux bannissements.

La Switch 2 a tenu presque un an et demi, et son jailbreak est le fruit du travail d’un chercheur expérimenté avec Codex. Il a monté l’environnement de test, réparti les tâches et collaboré avec l’IA pour faire fonctionner l’exploit.

Au-delà des consoles, les signalements d’attaques de sites web, de fuites de données et de vulnérabilités dans les services en ligne ont fait parler de « Black October ». La liste virale exagère le rôle de l’IA, mais des cas précis et confirmés montrent tout de même ce qui est en train de changer : les chercheurs peuvent confier à l’IA une partie du travail d’enquête et de programmation qu’ils devaient auparavant effectuer eux-mêmes.

Pour les joueurs, les conséquences dépendront de la réaction des fabricants. Des attaques moins coûteuses pourraient donner aux entreprises une raison supplémentaire d’exiger des vérifications régulières en ligne, d’imposer de nouvelles restrictions et de multiplier les bannissements. Les joueurs pourraient payer le prix d’une sécurité renforcée en perdant une partie du contrôle sur les consoles qu’ils possèdent déjà.

Cette réaction m’inquiète davantage que l’IA elle-même. Nintendo se réserve déjà le droit de rendre un appareil inutilisable en cas de violation de son contrat d’utilisation en Amérique du Nord, et des acheteurs de cartouches d’occasion ont signalé avoir perdu l’accès aux services en ligne. Ces incidents sont antérieurs à ns2jb, mais ils montrent qui risque d’être pris dans les sanctions. Les fabricants ont le droit de protéger leurs plateformes, mais les joueurs qui respectent les règles ne devraient pas payer pour les actes d’autrui.

Nous avons répondu aux questions les plus fréquentes sur le jailbreak de la Switch 2 et le rôle qu’y a joué l’IA.

Oui, mais avec quelques réserves. Le 22 octobre 2026, le chercheur pepsipu a dévoilé le jailbreak ns2jb, qui permet d’exécuter des logiciels homebrew avec un accès système sur le firmware 23.0.1. Le jailbreak disparaît à chaque redémarrage : on ne peut donc pas parler de firmware personnalisé.

Au 24 octobre 2026, il n’existe pas de firmware personnalisé (CFW) permanent pour la Switch 2, et il faut relancer ns2jb après chaque redémarrage. Nintendo peut corriger l’exploit avec une mise à jour système. SmileBASIC 4, l’application dont le jailbreak se sert comme point d’entrée, aurait déjà été retirée de la vente aux États-Unis et en Europe, tandis que les informations concernant la boutique japonaise sont contradictoires. De plus, le contrat d’utilisation du compte Nintendo en Amérique du Nord autorise Nintendo à bloquer les services en ligne, voire l’appareil lui-même, en cas de non-respect des règles.

Non. Selon l’auteur du jailbreak, la recherche de vulnérabilités a été menée avec l’agent Codex d’OpenAI : l’IA a découvert le bug de SmileBASIC qui a fourni le premier point d’entrée dans le système, et elle a écrit le mod de Mario Kart World. Mais pepsipu a préparé l’environnement de travail de l’IA, lui a confié des tâches et a collaboré avec elle lors de la dernière étape, au niveau du système ; selon pepsipu, le jailbreak lui-même a pris environ deux semaines. La phrase « ne faire aucune erreur » figure bien sur le blog, mais uniquement comme légende humoristique ; dans une modification publiée juste en dessous, l’auteur a écrit : « Non, c’est juste une légende idiote. »

C’est possible. L’auteur du jailbreak parle de logiciels homebrew, de mods et de sauvegardes, sans évoquer le piratage. Kotaku souligne que, partout où des jeux homebrew peuvent être lancés, des copies piratées pourraient aussi potentiellement fonctionner. Pour l’instant, toutefois, le jailbreak disparaît à chaque redémarrage.

Techniquement, oui. Depuis mai 2025, le contrat du compte Nintendo en Amérique du Nord autorise l’entreprise à rendre les services ou l’appareil « définitivement inutilisables, en tout ou en partie » en cas de non-respect des règles. À l’été 2025, des propriétaires de Switch 2 équipés d’une carte MIG ont signalé avoir été privés des fonctionnalités en ligne, même si leurs consoles continuaient de fonctionner hors ligne.

Rien ne le confirme. Les sources disponibles ne relient pas le jailbreak public Relapse, qui concerne les firmwares 7.00 à 13.60, à l’IA. Des outils d’IA, Claude en particulier, ont été associés à des logiciels destinés à des consoles déjà jailbreakées : un émulateur PS2, une application de cloud gaming Xbox et, selon certaines informations, une « boutique » de jeux piratés.

C’est le nom donné par les réseaux sociaux et certains professionnels de la sécurité à la vague de signalements de vulnérabilités majeures et d’attaques en octobre 2026. L’histoire principale concerne deux vulnérabilités critiques de PHP qui, selon OpenAI, ont été découvertes avec l’aide de son modèle. La liste virale de 27 incidents exagère toutefois les choses : beaucoup se sont produits avant les 48 heures qu’elle prétend couvrir, et seuls six ont un lien direct établi avec l’IA.