Selon les comptes rendus publiés le 1er novembre 2026, le chercheur Xusheng Li a trouvé des fichiers non chiffrés sur la carte interne de la Lenovo ThinkPlus FU100, pourtant présentée comme chiffrée en AES-256. Le lecteur d’empreintes ouvrait la connexion USB ; il ne protégeait pas le contenu des fichiers. Codex est intervenu dans des analyses ultérieures de logiciels d’autres fournisseurs.
Sur la FU100, l’empreinte contrôlait l’accès
Le chiffrement rend les données illisibles sans la clé appropriée. L’authentification par empreinte vérifie qui peut accéder à un appareil ou à une connexion. D’après les résultats attribués à Li, la FU100 utilisait la seconde fonction : une fois la carte interne accessible, les fichiers qu’elle contenait n’étaient pas chiffrés.
Codex a servi à examiner d’autres logiciels
Li aurait utilisé OpenAI Codex avec des outils de rétro-ingénierie pour analyser des logiciels de protection d’autres fournisseurs. L’examen physique initial de la FU100 est distinct de ces analyses logicielles.
Les tests rapportés ont notamment relevé une clé fixe et un mot de passe utilisateur dans les journaux de diagnostic du logiciel Netac, en environ sept minutes. Pour USB Copy Protection de KakaSoft, Li aurait reconstitué le mot de passe interne et déchiffré un fichier de test sans le mot de passe de l’utilisateur en environ 26 minutes. Pour Copy Secure de Nexcopy, il aurait repéré en une dizaine de minutes un certificat intégré à l’application de lecture qui déverrouillait une clé.
Un kit logiciel utilisé dans ces analyses aurait également couvert neuf appareils de stockage d’autres fournisseurs. La plupart pouvaient révéler des mots de passe et deux stockaient les données sans chiffrement sur des cartes microSD. Ces durées correspondent aux tests rapportés, pas à des mesures comparables des performances générales de Codex.
La TSD303 présentait un autre défaut
Les données de la Lenovo TSD303 étaient chiffrées, selon les mêmes comptes rendus, mais son modèle initial envoyait le bon mot de passe en clair par USB pour que le logiciel le compare. Un premier correctif aurait utilisé une clé dérivée d’une valeur ressemblant à un horodatage, que le logiciel Lenovo pouvait reconstituer. Un correctif ultérieur aurait fait vérifier le mot de passe par le disque lui-même.
Les corrections Lenovo rapportées
Les correctifs décrits concernaient les FU100, FU200, TU800 et TSD303. La procédure rapportée en Chine prévoyait de contacter le service local pour organiser un remplacement ou une mise à jour du micrologiciel sur place. Lenovo aurait conseillé de sauvegarder les données et recommandé d’effacer le disque avant de le renvoyer.
