Android : GrapheneOS accuse Google de réserver des correctifs aux Pixel

En janvier, Google annonçait qu’il ne publierait plus le code d’Android dans l’Android Open Source Project qu’aux 2e et 4e trimestres, et assurait dans la foulée que rien ne changerait pour les correctifs de sécurité mensuels. Huit mois plus tard, l’équipe de GrapheneOS déroule sur Mastodon l’inventaire de ce que cette cadence lui coûte vraiment. La liste est longue.

Des API que seuls les Pixel connaissent

Android 17 QPR1 est sorti le 15 septembre. Il ajoute de nouvelles API destinées aux développeurs d’applications, et ces interfaces ne sont pour l’instant disponibles que sur le Pixel OS. Rien d’exotique pourtant : ce sont des API Android standard, qui n’arriveront dans AOSP et chez les autres fabricants qu’avec QPR2, en décembre 2026. GrapheneOS souligne que c’est la première fois depuis Honeycomb, soit Android 3.x en 2011, que Google ajoute des interfaces sans les reverser en même temps dans le code ouvert. Si le schéma se reproduit, cela fait 6 mois sur 12 pendant lesquels une fonction peut exister sur un Pixel et nulle part ailleurs.

Les correctifs de sécurité dans le même paquet

Le bulletin Pixel de septembre 2026 contient des correctifs qui ne concernent pas que les Pixel : ils touchent des composants standard de la plateforme Android, ceux qu’utilisent aussi les appareils des autres constructeurs. Ils ne figurent ni dans le bulletin de sécurité Android du même mois, ni dans les correctifs transmis en avance aux fabricants. Autrement dit, un appareil qui n’est pas un Pixel attend décembre.

GrapheneOS s’en sort en analysant le code compilé pour reconstituer ces correctifs de son côté, et pointe l’absurdité de la chose : si un correctif diffusé sous forme binaire se laisse rétro-analyser en quelques jours, le programme d’accès anticipé réservé aux fabricants perd l’essentiel de sa raison d’être. L’équipe signale aussi que le code source du noyau, désormais accessible uniquement sur formulaire, lui a été fourni le 17 septembre pour une demande déposée le 1er, soit 16 jours d’attente pour du code sous GPL. (Remplir un formulaire pour obtenir la source d’un logiciel libre, il fallait y penser ! :-))

Le Pixel 11, mauvaise nouvelle puis rétropédalage

Il y a quelques semaines, la même équipe déconseillait l’achat des Pixel 11, Google ayant renoncé au MTE, ce marquage mémoire qui repère les corruptions de mémoire et dont GrapheneOS se sert abondamment. La position a évolué depuis : le MTE n’a pas disparu de la puce, il est désactivé au niveau du firmware, et l’équipe estime pouvoir le prendre en charge par voie logicielle pour un surcoût d’environ 5 % sur les performances générales. Un prix qu’elle juge raisonnable au vu de ce que la fonction protège.

Une colère qui sert aussi un calendrier

Reste à lire ce fil pour ce qu’il est. GrapheneOS n’est pas un observateur neutre du marché Android : le projet a annoncé en mars un partenariat avec Motorola Mobility, la filiale mobile de Lenovo, dont les premiers appareils sont attendus l’an prochain sur le haut de gamme. Quand l’équipe écrit que ces futurs Motorola seront bien plus simples à supporter que les Pixel, elle énonce un constat technique et, en même temps, un argument commercial pour son propre calendrier. Tout vient par ailleurs d’une seule série de messages, sans réponse de Google à ce jour, et personne à l’extérieur n’est en mesure de vérifier l’état exact des correctifs dont il est question. Ce qui est vérifiable, en revanche, c’est la promesse de janvier : elle portait très exactement sur le point aujourd’hui contesté.

En bref

• Android 17 QPR1, sorti le 15 septembre, ajoute des API réservées au Pixel OS jusqu’à QPR2, en décembre 2026.
• Des correctifs du bulletin Pixel de septembre touchent des composants Android standard sans figurer au bulletin de sécurité Android.
• GrapheneOS les reconstitue par rétro-ingénierie, et a attendu 16 jours le code source du noyau sous GPL.
• Le MTE est toujours dans la puce du Pixel 11, désactivé côté firmware ; une prise en charge logicielle coûterait environ 5 %.
• L’équipe est partenaire de Motorola depuis mars, ce qui donne à sa critique un intérêt qui n’est pas seulement technique.

Sources : le fil de l’équipe GrapheneOS sur Mastodon, et Next.

Le Bien Heureux · Redaction Capibara · Samedi 19 septembre 2026