Chat Control, CSAM : Proton dévoile sa technique de lutte, sans backdoor et sans scan

Le débat sur le scan des messageries privées en Europe repart de plus belle, tandis que le CTO de Proton détaille pour la première fois les méthodes internes de l'entreprise contre les contenus pédocriminels.

Bart Butler, directeur technique de Proton, a détaillé dans le podcast Decoder les dispositifs internes de lutte contre les contenus pédocriminels, sans passer par le scan des messages. Il faut dire que le débat européen sur le client-side scanning est reparti de plus belle, alors que le Parlement européen a prolongé un régime de surveillance volontaire début juillet

Chat control, un dossier qui n'en finit pas de rebondir

Le règlement européen visant à lutter contre les abus sexuels sur mineurs, surnommé "chat control", connaît des rebondissements depuis 2022. En mars dernier, le Parlement a rejeté la prolongation du régime temporaire autorisant le scan volontaire des messages par une seule voix d'écart, ce qui a mis fin, sur le papier, à la base légale permettant à Gmail ou WhatsApp de scanner les communications privées. Mais, rebelote le 9 juillet 2026 : les eurodéputés ont voté en procédure d'urgence la réintroduction de cette dérogation, cette fois jusqu'en 2028.

Ce texte "temporaire" ne doit pas être confondu avec le règlement CSAR (Child Sexual Abuse Regulation), la version permanente du dossier, toujours en négociation. En novembre 2025, le Conseil de l'UE a validé un mandat qui abandonne les ordonnances de détection obligatoires initialement prévues, au profit d'une analyse volontaire des messageries comme simple mesure d'atténuation des risques. Le client-side scanning, cette technique qui consiste à analyser le contenu d'un message directement sur l'appareil avant son chiffrement, reste d'actualité et est présentée comme une option envisageable pour les plateformes qui voudraient s'y soumettre.

C'est précisément ce mécanisme que Proton et d'autres acteurs du chiffrement, comme Tuta, Signal et même Apple, refusent catégoriquement d'implémenter. Bart Butler résume la position en une phrase : "Il est impossible de créer une porte dérobée qui ne puisse être utilisée que par les gentils." Tous les spécialistes en cybersécurité ne cessent de le répéter : toute faille introduite dans un système de chiffrement, même conçue pour un usage légitime, finit historiquement par être exploitée par des acteurs malveillants. Proton, tout comme Signal, ont d'ailleurs prévenu qu'un durcissement de la réglementation européenne pourrait les pousser à quitter le territoire. Et Bart Butler confirme que des dispositifs sont déjà mis en place pour quitter le pays si les lois suisses venaient à dégrader la vie privée des utilisateurs.

La méthode Proton, un système d'indices sans lecture des contenus

Le directeur technique de Proton affirme qu'il est parfaitement possible de lutter contre la propagation de contenus illicites sans pour autant scanner les messages. En revanche, il refuse d'en dévoiler la mécanique exacte. Il explique que donner des détails reviendrait à fournir un mode d'emploi aux personnes malveillantes pour contourner la détection. Il reconnaît toutefois que cette approche est moins efficace qu'un scan systématique de chaque image, tout en soulignant que, de toute façon, avec l'IA générative, il devient de plus en plus difficile de distinguer une image de synthèse d'une victime réelle. Et cela complique aussi l'exploitation des signalements.

Pour illustrer le principe sans en révéler les rouages, Butler prend l'exemple des comptes liés au ransomware, un cas qu'il peut détailler publiquement contrairement au CSAM. Pendant des années, les autorités transmettaient à Proton des demandes légales concernant des comptes déjà repérés comme servant à des extorsions numériques. À force d'analyser ces signalements, l'équipe a fini par identifier les schémas comportementaux typiques de ce type de compte. Résultat : aujourd'hui, ces adresses sont désactivées pour abus plusieurs mois avant même qu'une requête légale n'arrive. Butler confirme qu'un mécanisme équivalent existe pour le CSAM, basé sur un jeu d'indicateurs comportementaux qu'aucun gouvernement, précise-t-il, ne lui a jamais demandé de dévoiler.

Cette architecture s'appuie sur trois piliers cumulés : la détection interne par indicateurs, un système de signalement par les utilisateurs eux-mêmes lorsqu'ils reçoivent du contenu problématique, et l'analyse du volume de requêtes légales reçues comme indicateur indirect de l'ampleur du problème sur la plateforme. Proton consacre près de 10% de ses ressources totales à la lutte contre les abus, un centre de coût pur puisqu'il ne génère aucun revenu, mais que l'entreprise revendique comme un engagement de fond.

Butler admet que la méthode a ses limites. Il ignore le "dénominateur", c'est-à-dire la part réelle de contenus illicites que son système parvient à intercepter par rapport au volume total qui circule sur la plateforme. Il ne dispose que d'un indicateur indirect : le nombre de requêtes légales liées à ce type d'infraction. Ce nombre est resté stable dans le temps selon lui, ce qui laisserait penser que le phénomène ne progresse pas de façon incontrôlée. Il souligne par ailleurs que les employés de Proton n'ont légalement pas accès aux images signalées, ce qui, d'un côté, les protège mais limite aussi la capacité de vérification humaine des signalements.