Android : les correctifs de sécurité bloqués 3 mois hors Pixel

GrapheneOS, le système d'exploitation alternatif réputé pour son niveau de sécurité, a publié un fil accusateur contre Google sur X et Mastodon cette semaine. Le projet reproche à l'entreprise de retenir des correctifs de sécurité et de nouvelles interfaces de programmation, réservées de fait aux appareils Pixel pendant plusieurs mois.

En cause, la sortie d'Android 17 QPR1, déployée sur les Pixel avec le Pixel Drop de septembre 2026. Cette mise à jour trimestrielle introduit de nouvelles API pour les développeurs, sans que le code correspondant soit reversé dans l'Android Open Source Project (AOSP), la base sur laquelle s'appuient GrapheneOS, LineageOS et les fabricants tiers.

Deux reproches précis

Le premier grief porte sur les interfaces de programmation. Selon GrapheneOS, il s'agit d'API Android standard, pas de fonctions propres au matériel Pixel. Elles ne parviendront à l'AOSP et aux autres constructeurs qu'en décembre 2026, avec la version QPR2. L'équipe rappelle que c'est la première fois depuis Android Honeycomb, il y a plus de dix ans, qu'une version ajoute ainsi des API sans publication immédiate dans AOSP.

Le second reproche vise les correctifs de sécurité eux-mêmes. Le bulletin Pixel de septembre 2026 contient des correctifs supplémentaires touchant des composants standards de la plateforme, également utilisés par des appareils tiers. Ces correctifs n'apparaissent ni dans le bulletin de sécurité Android général, ni dans les patchs communiqués en avance aux fabricants. GrapheneOS et les autres OEM ne les recevront donc, en principe, qu'avec la QPR2 de décembre.

« Google should not be gatekeeping security patches to the standard Android platform code from Android OEMs, but that's what they've started doing », GrapheneOS, équipe du projet.

L'équipe précise qu'elle peut reconstituer ces correctifs par rétro-ingénierie du code compilé, mais prévient que cette méthode fragilise la justification même d'un accès anticipé réservé aux Pixel.

Un calendrier resserré depuis 2024

Ce différend prolonge une décision annoncée par Google en novembre 2024. Depuis janvier 2026, l'entreprise ne publie plus le code source d'Android dans AOSP que deux fois par an, au deuxième et au quatrième trimestre, contre une publication à chaque mise à jour trimestrielle auparavant. Google avait alors assuré, auprès d'Android Authority, que ce changement ne toucherait pas le rythme mensuel des correctifs de sécurité.

Cette promesse est aujourd'hui contestée. Le mois de septembre a vu l'entreprise imposer, en plus, un formulaire pour obtenir le code source du noyau des Pixel, là où il était auparavant téléchargeable automatiquement en quelques heures.

Une relation déjà tendue

Le différend s'ajoute à un autre dossier ouvert fin août. GrapheneOS avait alors déconseillé l'achat des Pixel 11, faute de prise en charge matérielle du Memory Tagging Extension (MTE), une protection contre les vulnérabilités mémoire présente depuis les Pixel 8. L'équipe soupçonnait un choix purement financier de la part de Google.

Depuis, GrapheneOS a annoncé travailler sur un portage partiel via une implémentation logicielle du MTE, au prix d'une perte de performance estimée à 5 %. Le projet mise désormais sur l'arrivée des premiers smartphones Motorola sous GrapheneOS, attendus courant 2027, qu'il juge plus simples à maintenir que les Pixel.

Google fait par ailleurs l'objet d'un autre contentieux aux États-Unis, où une juge fédérale l'a récemment condamné à réformer sa publicité en ligne sans imposer de cession d'actifs. En France, l'entreprise fait aussi face à une contestation locale autour de son projet de data center dans l'Indre, qui a provoqué des démissions en série dans une petite commune. Sur un tout autre front, Google et sa filiale DeepMind viennent par ailleurs de créer un institut dédié à l'intelligence artificielle générale.

Google n'a pas répondu publiquement aux dernières accusations de GrapheneOS concernant les correctifs de septembre. La prochaine échéance reste la publication de la QPR2 d'Android 17, attendue en décembre 2026, qui doit reverser dans AOSP l'ensemble du code retenu depuis l'été.