Mise en garde contre Hanzo AI : pourquoi tu ne devrais pas laisser cette IA entrer dans ton ordinateur

L'e-mail arrive un jeudi matin. Expéditeur : joshua@hanzo.app. Objet : « Petite note sur filament ». De note, il n'y en a pas, seulement une invitation à une « bêta » dont le lien ne mène nulle part. L'adresse à laquelle il a été envoyé ne figure sur aucun de mes sites web. Hanzo l'a pêchée dans les données de la plateforme de programmation GitHub et l'a utilisée pour de la publicité, contrairement aux règles de GitHub et sans mon consentement. Je commence à creuser. Ce que je trouve, c'est une entreprise d'IA qui se dit numéro un et compte 84 abonnés sur LinkedIn. Elle indique trois années de création différentes et des adresses dans trois villes. Sur la page d'équipe de l'entreprise elle-même, sa patronne porte un autre titre, et son fondateur a travaillé auparavant comme développeur chez CryptoZoo, le jeu crypto raté de l'influenceur Logan Paul. Et son logiciel, si on le laisse faire, agit sans demander confirmation sur l'ordinateur de l'utilisateur.

Une note sans note

L'e-mail est court et aimable. « Bonjour Sascha, je souhaite t'inviter chaleureusement à la bêta de Hanzo », écrit un certain Joshua Lynch. On y explique chercher « les meilleurs développeurs pour façonner ensemble l'avenir de l'IA ». En dessous, un lien vers la bêta, c'est-à-dire vers une version de test, un lien vers un agenda de prise de rendez-vous et une adresse à San Francisco : 1 Ferry Building. Envoyé le 2 novembre, arrivé chez moi trois jours plus tard.

Seule la note manque. L'objet promet quelque chose sur « filament ». Le texte n'en dit pas un seul mot.

Filament est un projet open source connu, c'est-à-dire un logiciel librement disponible, auquel des bénévoles du monde entier contribuent. Les programmeurs s'en servent pour construire des interfaces d'administration de sites web. En septembre 2025, j'y ai apporté une petite fonction : après un changement de page, les tableaux remontent en haut [1]. C'est tout. Avant cet e-mail, je n'avais jamais entendu parler de Hanzo.

Comment Hanzo a obtenu mon adresse

La piste mène à GitHub, la plus grande plateforme de projets logiciels. Filament s'y trouve aussi. Quand on participe à un projet, on enregistre chaque modification sous la forme de ce qu'on appelle un commit, et chaque commit porte le nom et l'adresse e-mail de son auteur. Sur la page web normale, GitHub masque l'adresse. Dans les données brutes, elle figure pourtant. Si l'on ajoute le suffixe .patch à l'adresse web d'un commit, on voit le commit en texte brut, et l'adresse e-mail figure à la ligne deux. Des programmes peuvent aspirer ces données en masse via une interface de GitHub.

Mon commit Filament du 18 septembre 2025 porte exactement l'adresse à laquelle Hanzo a écrit [1]. La recherche de GitHub la trouve dans 446 commits. Et dans l'objet « Petite note sur filament », le nom est écrit en minuscules, exactement comme le nom du dossier du projet sur GitHub. C'est à cela que ressemble une variable qu'un programme remplit automatiquement avec le nom du projet.

La patronne de Hanzo le confirme plus tard elle-même. Quand je lui demande pourquoi « filament » figure dans l'objet, elle répond : « Filament, ce n'est pas ton travail sur GitHub ? » (en version originale : « filament isn't that your work on github? »).

C'est précisément ce que GitHub interdit. Ses règles d'utilisation précisent qu'on ne doit pas utiliser les informations de GitHub pour du spam, ni pour des e-mails non sollicités adressés aux utilisateurs [2]. Cela vaut expressément aussi pour les données obtenues via l'interface officielle. Hanzo gère lui-même des centaines de projets sur GitHub et est tenu de respecter ces règles. En m'envoyant cet e-mail, l'entreprise les a enfreintes. Fin février 2026, des développeurs ont fait état, sur le forum Hacker News, d'e-mails similaires envoyés par des start-up. Un employé de GitHub y a répondu qu'un tel comportement enfreignait expressément les conditions d'utilisation de GitHub et que GitHub pouvait suspendre de tels comptes [3].

Une bêta qui n'existe pas

Je clique sur le lien vers la bêta. Il tourne en rond. hanzo.app/beta redirige vers hanzo.ai/app, de là on revient sur hanzo.app, puis de nouveau sur hanzo.ai/app, et ainsi de suite. Au bout de dix redirections, mon test abandonne, le navigateur signale trop de redirections. Situation au 6 novembre 2026, 21 h 43. La version de test à laquelle Hanzo invite si chaleureusement n'existe tout simplement pas pour les destinataires.

Les données techniques de l'e-mail racontent le reste. Chaque e-mail porte des informations supplémentaires invisibles qui permettent de retracer son parcours. Celui-ci est passé par SendGrid, un service d'envoi d'e-mails en masse, et ce automatiquement, via une interface de programmation. Il n'a pas été envoyé depuis un logiciel de messagerie ordinaire. Il contient en outre les informations que Gmail et Yahoo exigent depuis 2024 de tous ceux qui envoient des e-mails en grand nombre.

Il est parti non pas de l'adresse principale de Hanzo, hanzo.ai, mais de hanzo.app. Ce domaine n'est enregistré que depuis février 2025 et il est moins bien protégé contre les abus que le domaine principal. Ceux qui écrivent à des inconnus sans y avoir été invités utilisent volontiers un tel domaine secondaire : s'il atterrit sur des listes de blocage, l'adresse principale reste propre.

Et encore une chose. Sur LinkedIn, Joshua Lynch écrit un anglais truffé de fautes d'orthographe. L'e-mail en allemand que j'ai reçu est sans faute. Il a probablement été écrit ou traduit par un programme.

L'expéditeur et ses projets parallèles

Qui est Joshua Lynch ? Selon LinkedIn, il vit en Irlande [4]. En juin 2026, il a fondé à Freemount, dans le comté de Cork, l'agence web Webby AI, qui crée des sites web pour des artisans et de petites entreprises, contact par WhatsApp [5]. Auparavant, il vendait du biochar pour l'entreprise Tree of Life Biotech et cherchait de nouveaux clients pour CarbonCoreAi [4].

Depuis octobre 2026, il occupe un second rôle : « Fellow » chez Hanzo AI, à durée déterminée, depuis chez lui [4]. Il n'apparaît pas sur la page d'équipe de Hanzo [6]. Ce que gagne un fellow chez Hanzo, la page carrières le révèle : le seul poste de ce type est rémunéré en puissance de calcul gratuite et en crédits pour les services de Hanzo [7]. Un salaire ? Ce n'est pas mentionné. Je ne sais pas si Lynch est payé de cette façon.

Fin octobre, Lynch s'est enthousiasmé pour Hanzo sur LinkedIn : il disait utiliser le logiciel depuis environ un mois et être très impressionné [8]. Dans cette publication, il ne mentionne pas qu'il travaille lui-même pour Hanzo.

Hanzo n'est pas son seul projet. À la même époque, Lynch est devenu « Associate Partner » chez Qortal, une plateforme blockchain dotée de sa propre cryptomonnaie [4]. Il la qualifie de « prochain moment Bitcoin » [9] et offre des jetons à toute personne de son réseau qui lui indique son portefeuille numérique [10]. Le 1er novembre, il a présenté une plateforme par laquelle des investisseurs sont censés financer la recherche avec de la cryptomonnaie. Huit projets y figurent, du biochar jusqu'à « Hyper-fusion » et « free energy », c'est-à-dire de l'énergie à partir de rien [11]. On y trouve aussi « Sir Professor Santilli » et son « Institute for Basic Research ».

Ruggero Santilli est un physicien dont les théories, selon Wikipedia, sont rejetées par la communauté scientifique comme relevant de la science marginale [12]. Il a fondé son institut en 1981 sous la forme d'une organisation d'une seule personne. En 2016, il a présenté des photos d'objets d'antimatière prétendument invisibles sur Terre. Et l'énergie à partir de rien contredit le principe de conservation de l'énergie, une règle fondamentale de la physique.

Un jour plus tard, Lynch a de nouveau fait la promotion de la plateforme, cette fois avec une promesse : des dividendes pour les investisseurs [13]. Ceux-ci sont censés y acheter des parts numériques de projets de recherche. Selon lui, il a construit la version de démonstration avec le logiciel de Hanzo. La page d'entreprise de Hanzo sur LinkedIn a partagé la publication [14].

Qu'est-ce que cela signifie ? Une plateforme qui promet aux investisseurs des dividendes sur des parts numériques n'est pas un projet de loisir anodin. Quiconque vend à des gens des parts assorties d'une participation aux bénéfices propose en règle générale un placement financier, et des règles strictes s'y appliquent : prospectus, supervision, responsabilité. C'est précisément là-dessus qu'a échoué Unikrn, un client vitrine de Hanzo, j'y reviens plus bas. La plateforme de Lynch est pour l'instant une version de démonstration. Je n'ai pas pu déterminer si de l'argent réel y circule déjà. Le tableau d'ensemble n'en reste pas moins remarquable : un fellow de Hanzo veut attirer des investisseurs vers une recherche qui va jusqu'à l'énergie à partir de rien, le paiement se fait en cryptomonnaie, tout est construit avec le logiciel de Hanzo, et la page d'entreprise de Hanzo en fait la promotion. Pour moi, c'est un signal d'alarme. Une entreprise qui veut accéder à ton ordinateur devrait se tenir à l'écart de ce genre de choses au lieu de les diffuser.

« Nous avons l'autorisation de tous les utilisateurs »

Je veux savoir qui se cache derrière l'e-mail. Hanzo gère un serveur sur Discord, une plateforme de discussion où l'équipe se présente à sa communauté [15]. Une certaine Antje y écrit : « Salut ! Je suis Antje, CEO et cofondatrice de Hanzo ! » Le 5 novembre, je lui demande par message privé si les e-mails de joshua@hanzo.app viennent de Hanzo. Le 6 novembre, j'insiste : d'où vient mon adresse ? Pourquoi « filament » figure-t-il dans l'objet ? D'où vient l'autorisation ?

Les réponses arrivent vite. À 19 h 45 : « Nous avons l'autorisation de tous les utilisateurs pour leur envoyer des e-mails » (en version originale : « we have permission from all users to email »). Ne me serais-je pas inscrit moi-même ? Le tout accompagné d'excuses pour le désagrément. À 20 h 32, elle envoie le lien de désinscription et demande d'un ton piquant si elle devrait s'excuser de donner gratuitement des logiciels open source. Selon elle, je devrais d'ailleurs écrire aussi sur leur produit. Une minute plus tard, l'histoire bascule : « Joshua fait partie de notre équipe, désolée qu'il ait fait ça. Donne-moi l'adresse et je te supprime » (en version originale : « joshua is one of our team, sorry he did that »).

« Nous avons l'autorisation de tous les utilisateurs pour leur envoyer des e-mails. » Antje Worring, Hanzo, dans le chat, le 6 novembre 2026

D'abord, l'entreprise a l'autorisation de tous les destinataires. Trois quarts d'heure plus tard, c'était un seul membre de l'équipe. Les deux à la fois, ce n'est pas possible. Et je n'ai jamais donné d'autorisation. Que mon code se trouve sur GitHub ne vaut pas consentement à des e-mails publicitaires.

En outre, l'e-mail est passé par l'infrastructure technique de Hanzo elle-même : par le domaine hanzo.app avec son sceau numérique d'expéditeur, avec le pied de page « Hanzo AI, Inc. » et une page de désinscription sur hanzo.ai. Cette page indique même la rubrique dont relèvent ces e-mails : « developer outreach », c'est-à-dire la prospection ciblée de développeurs. Cela ne ressemble pas à un cas isolé.

Ensuite, je la bloque sur Discord. À 20 h 56, je me fais éjecter du serveur. Dans les règles que Hanzo y avait publiées deux jours plus tôt, on lit au point 4 : pas de spam, pas de messages privés non sollicités, pas de publicité [15]. Mes messages à la patronne n'étaient pas sollicités. L'e-mail que Hanzo m'a envoyé ne l'était pas non plus.

Trois années de création, trois villes, une entreprise

Quand Hanzo a-t-il été fondé ? Une question simple. Hanzo y apporte trois réponses.

Sur la page LinkedIn « Hanzo AI », on lit 2013 [16]. Sur le serveur Discord, dans la documentation et sur la propre page d'historique de l'entreprise, on lit 2014 [15][17][18]. Sur l'ancienne page LinkedIn « Hanzo », on lit 2016 [19], et la page presse renchérit : « Founded in 2016 in Los Angeles » [20]. Le fondateur Zach Kelling fait même figurer les deux versions dans son propre profil LinkedIn. À propos de son poste actuel de directeur technique, depuis juin 2026, il écrit que Hanzo a été fondé en 2016 (en version originale : « Founded in 2016 »). Cinq entrées plus bas, il figure comme directeur technique fondateur de Hanzo, depuis janvier 2014. D'après son propre profil, il était donc directeur technique fondateur deux ans avant la fondation [21].

Où Hanzo a-t-il son siège ? Là aussi, il y a plusieurs réponses. La page presse dit Los Angeles [20], le numéro de téléphone juste en dessous porte l'indicatif de Kansas City. Le pied de page de l'e-mail de spam dit 1 Ferry Building, San Francisco. C'est là que se trouve SHACK15, un club auquel adhèrent des fondateurs d'entreprise [22]. LinkedIn dit 995 Market Street, San Francisco [16]. C'est la Frontier Tower, un immeuble pour fondateurs, avec une adhésion à partir de 190 dollars par mois [23]. L'ancienne page LinkedIn dit 405 Southwest Boulevard, Kansas City [19].

Trois années de création, trois villes, deux adresses dans des clubs de fondateurs. Et la taille ? Selon ses propres dires, Hanzo est le numéro un des plateformes d'IA pour programmeurs, un laboratoire primé comptant de 11 à 50 employés [16]. La page LinkedIn compte 84 abonnés, sept profils y sont rattachés. L'un d'eux appartient au fellow à durée déterminée Joshua Lynch. La chaîne Telegram compte trois abonnés. Le compte Instagram a huit abonnés et aucune publication, et il décrit encore Hanzo comme une plateforme de commerce en ligne [24]. Sur Discord, deux personnes ont le rôle d'équipe [15]. La propre page d'équipe de l'entreprise montre 16 personnes avec des titres comme Chief Visionary Officer et compte au passage 16 programmes d'IA dans son personnel [6].

L'ancienne page LinkedIn en révèle davantage. Hanzo y est une entreprise de Kansas City comptant de deux à dix employés, avec trois membres, un chiffre inchangé depuis un an, et une offre pour tous ceux qui veulent lancer une « token sale », c'est-à-dire lever des fonds avec leur propre cryptomonnaie [19].

Une confusion peut être exclue : l'entreprise britannique Hanzo Archives n'a rien à voir avec ce Hanzo-là.

On peut y voir de la négligence. Mais une entreprise dont le logiciel veut accéder aux ordinateurs de ses utilisateurs n'est même pas capable de dire de façon cohérente quand et où elle a été fondée. C'est là que j'ai tiqué pour la première fois. Ce ne fut pas la dernière.

D'abord les boutiques en ligne, puis la blockchain, maintenant l'IA

La source la plus fiable sur la fondation est un article du magazine de start-up Startland News, de Kansas City, daté du 10 octobre 2017 [25]. Selon cet article, Zach Kelling, en tant que patron, et David Tai, en tant que directeur technique, ont fondé l'entreprise en 2014. Tous deux considèrent Kansas City comme leur chez-soi, et Kelling dit avoir délibérément choisi de ne pas aller dans la Silicon Valley. À l'époque, Hanzo vendait des logiciels pour boutiques en ligne. Selon la page d'historique de Hanzo, l'entreprise s'appelait au départ Crowdstart et a été renommée en 2016 [18]. En 2017, Hanzo a intégré la première promotion du programme pour start-up Techstars à Kansas City [25]. Ça, c'est donc exact. Les propres pages de Hanzo situent toutefois le programme tantôt à « Boulder/NYC » [18], tantôt à « Boulder » [20].

Ensuite, Hanzo change de cap dès que la tendance suivante arrive. La Wayback Machine, une archive d'anciens sites web, le montre phrase après phrase. Fin 2017, Hanzo est la solution complète pour tous ceux qui veulent lancer un commerce en ligne. Au plus tard à partir de mai 2018, la description du site indique que Hanzo aide les entreprises à exploiter « the power of the blockchain », la puissance de la blockchain [26]. Cette phrase y reste plus de cinq ans, encore en décembre 2023 [27]. En février 2024, elle est toujours là. Un seul mot a été remplacé : on lit désormais « the power of AI », la puissance de l'IA [28].

Un mot à la place d'un autre, et l'entreprise blockchain est devenue une entreprise d'IA. À partir de l'automne 2024, le site fait la promotion de ce qui serait la première carte de crédit crypto qui te verse de l'argent. En 2025, il est question d'un éditeur de code à base d'IA, aujourd'hui d'un cloud d'IA. La page d'historique affirme désormais que Hanzo a utilisé l'IA dès le début et avait déjà recours en 2019 à des modèles de langage comme GPT [18].

Le serveur Discord, lui aussi, est plus ancien qu'il n'y paraît. Selon les données techniques de l'invitation, il a été créé le 13 mai 2018, en pleine période blockchain [15]. Les espaces dans lesquels l'équipe se présente aujourd'hui ont été créés le 4 novembre 2026. Deux jours après l'envoi de l'e-mail que j'ai reçu.

Le schéma est clair : Hanzo vend ce qui est demandé sur le moment. La technologie change, la promesse reste aussi grande. Et aujourd'hui, Hanzo raconte sa propre histoire comme si l'IA avait toujours été le plan.

Le jeton « réglementé »

De ses années blockchain, Hanzo présente aujourd'hui un cas vitrine : la vente d'une cryptomonnaie pour Unikrn, une plateforme de paris sur des tournois de jeux vidéo. Selon la page d'historique, Hanzo l'a mise en œuvre techniquement en 2017. Unikrn aurait été « the first regulated esports bookmaker », le premier bookmaker réglementé de ce genre, et l'argent aurait été levé dans des pays réglementés [18].

Le gendarme américain de la Bourse, la SEC, voyait les choses autrement. En septembre 2020, elle a constaté que les jetons Unikrn étaient juridiquement des valeurs mobilières. De telles offres doivent être enregistrées auprès de la SEC. Unikrn ne l'avait pas fait et avait ainsi levé environ 31 millions de dollars. La sanction : 6,1 millions de dollars, selon la SEC presque la totalité du patrimoine de l'entreprise. Les jetons ont été désactivés [29]. Hanzo n'apparaît pas dans le communiqué de la SEC. Le rôle réellement joué par l'entreprise reste une question ouverte. Elle présente pourtant le projet comme un succès.

Même chose pour le premier client de Hanzo, le fabricant SKULLY, qui promettait un casque de moto avec écran intégré. Hanzo cite aujourd'hui encore SKULLY comme un succès [18]. Selon le magazine technologique TechCrunch, l'entreprise s'est effondrée en juillet 2016. Plus de 3 000 personnes ayant précommandé devaient alors craindre de ne jamais recevoir leur casque [30].

Deux fois donc, Hanzo célèbre comme un succès ce qui a mal tourné pour d'autres : pour les acheteurs des jetons Unikrn et pour les clients de SKULLY qui avaient précommandé. Pour moi, ce n'est pas un hasard, mais une attitude. Chez Hanzo, le succès, c'est ce qui se raconte bien.

L'homme derrière Hanzo

Zach Kelling est l'homme derrière Hanzo. Dans le registre du domaine hanzo.ai, il est inscrit comme titulaire [31]. Il est actif sur GitHub depuis 2010 [32]. Sur la dernière année, son profil compte plus de 140 000 contributions, c'est-à-dire des modifications de code enregistrées. Cela ferait près de 400 par jour, chaque jour, pendant un an. Beaucoup d'entre elles citent comme coauteur « Hanzo Dev », le propre programme d'IA de Hanzo, qui écrit lui-même du code.

En 2017, selon Startland News, Kelling était le patron de Hanzo, dont le siège se trouvait à Kansas City [25]. Son profil LinkedIn raconte aujourd'hui une autre histoire : directeur technique de janvier 2014 à mars 2026, sur site à San Francisco [21]. Sur Discord aussi, il se présente comme directeur technique [15]. C'est désormais Antje Worring qui se présente comme la patronne.

Son CV est étonnamment chargé [21]. De 2020 à mars 2026, selon LinkedIn, il était à la fois directeur technique chez Hanzo, à temps plein sur site à San Francisco, fondateur de l'entreprise crypto LUX, à temps plein sur site à New York, et à partir de mai 2021 également directeur technique de Zoo Labs, là aussi à temps plein sur site à New York. Depuis juin 2026, il est en outre « Chief Scientist » d'une entreprise nommée ACM Global Tech. Là encore à temps plein.

Un projet manque dans cette longue liste : CryptoZoo.

CryptoZoo : le trou dans le CV

CryptoZoo était un projet de l'influenceur Logan Paul, qui compte des millions de fans sur YouTube. À partir de 2021, il en a fait la promotion comme d'un jeu dans lequel on élève des animaux et gagne ainsi de l'argent [33]. Les acheteurs ont payé pour des NFT, c'est-à-dire des objets de collection numériques sur une blockchain, et pour une cryptomonnaie propre au projet, appelée ZOO. Selon le magazine crypto Decrypt, jusqu'au début de 2023, le jeu n'avait pas été livré [33].

Le youtubeur Coffeezilla, qui enquête sur les affaires de fraude dans l'univers crypto, a décortiqué CryptoZoo et a accusé Paul de fraude. Sa vidéo la plus connue sur le sujet [34] :

En février 2023, un acheteur a déposé devant un tribunal fédéral au Texas une action collective contre Paul et d'autres personnes impliquées [35]. Le reproche : un « rug pull », littéralement « tirer le tapis ». Cela désigne le fait que les créateurs lèvent de l'argent, abandonnent le projet et gardent l'argent. Paul le conteste. En janvier 2024, il a annoncé qu'il rembourserait 2,3 millions de dollars aux acheteurs des NFT. Selon Decrypt, ceux qui avaient acheté la cryptomonnaie ZOO devaient repartir les mains vides [36]. Je n'ai pas pu établir où en est la procédure aujourd'hui.

Zach Kelling était en plein dedans. Decrypt le décrit comme développeur et premier directeur technique de CryptoZoo [33][37]. En janvier 2023, il a déclaré au magazine que son équipe avait construit le code du jeu. Un million de dollars leur reviendrait, à lui et à ses 30 développeurs, et il ne remettrait le jeu qu'après paiement. Paul l'a contredit : Kelling n'aurait employé que trois développeurs, et non trente, et le jeu serait encore en cours de développement [33].

« So far, we have all been scammed. » (Jusqu'ici, nous avons tous été arnaqués.) Zach Kelling à Decrypt, janvier 2023

Un second article de Decrypt, de juillet 2023, montre qu'il s'agit bien du même Zach Kelling [37]. Il présente de nouveau Kelling comme développeur et premier directeur technique de CryptoZoo, à qui reviendrait encore plus d'un million de dollars. Et il rapporte qu'après le différend avec Paul, Antje Worring a lancé son propre projet : Zoo Labs. La même Antje Worring qui est aujourd'hui la patronne de Hanzo. Le même Zoo Labs que Kelling présente sur LinkedIn comme son entreprise [21].

Pour éviter toute confusion : CryptoZoo et Zoo Labs sont deux projets différents. CryptoZoo était le jeu de Logan Paul. Zoo Labs est le projet de Worring et de Kelling, lancé selon Decrypt comme une branche caritative [37]. Le lien entre les deux, c'est Kelling.

Par souci d'équité, il faut préciser : selon le portail spécialisé Cointelegraph, Kelling ne figure pas parmi les défendeurs de l'action collective de février 2023 [35]. Il se considère lui-même comme lésé par Logan Paul.

Ce qui reste remarquable, c'est la manière dont Hanzo traite aujourd'hui cette période. Sur le profil LinkedIn de Kelling, CryptoZoo n'existe pas [21]. Sur la page d'historique de Hanzo, en revanche, l'année 2021 figure comme un triomphe : Hanzo aurait fondé la Zoo Labs Foundation, vendu sa propre cryptomonnaie pour plus de cinq millions de dollars, et cette monnaie appelée ZOO aurait valu à son apogée plus de 2,7 milliards de dollars [18]. De quelle monnaie appelée ZOO il s'agit, Hanzo ne le dit pas. La même année, CryptoZoo a lui aussi vendu une cryptomonnaie appelée ZOO. Au passage, selon les données de l'administration fiscale américaine, la Zoo Labs Foundation n'a été reconnue comme organisation à but non lucratif qu'en juin 2025 [38].

Une patronne, de nombreux CV

Sur Discord, Antje Worring est « CEO et cofondatrice » [15]. Sur LinkedIn, elle est cofondatrice et patronne depuis décembre 2019, à temps plein, sur site à San Francisco [39]. Sur la propre page d'équipe de Hanzo, elle est autre chose : Chief Operating Officer, c'est-à-dire responsable des opérations courantes [6]. Et sur son site personnel, Hanzo apparaît bien, mais sans aucun rôle [40].

En juin 2024, quatre ans et demi après le début indiqué par son profil LinkedIn, la série d'événements Startup Grind à Bali l'a présentée comme intervenante. Worring a elle-même partagé la publication [41]. Sa biographie y mentionne trois étapes : la marque de maillots de bain Karma Bikinis, l'entreprise crypto Lux Partners et Zoo Labs. Hanzo ? Absent. Sur le visuel de l'événement, on lit sous son nom : « COO, LUX ».

Son rôle chez Lux existe même en quatre versions. LinkedIn : directrice du design d'octobre 2023 à décembre 2024 [39]. La bio de 2024 : designer et programmeuse de mars 2020 à mai 2022 [41]. Le visuel : responsable des opérations courantes. Son site web : cofondatrice et directrice du design [40].

Même tableau chez Karma Bikinis. Selon LinkedIn, elle a fondé la marque en juin 2011 et l'a dirigée en tant que patronne jusqu'en janvier 2022 [39]. La bio de 2024 dit qu'elle y est designer principale depuis juin 2014 [41]. Et entre octobre 2021 et janvier 2022, selon LinkedIn, elle aurait occupé trois postes à temps plein à la fois : Hanzo sur site à San Francisco, Zoo Labs sur site à Londres et Karma Bikinis à Bali [39].

Sa première publication LinkedIn en lien avec Hanzo date du 16 février 2026 [42]. Avant, il était question d'autre chose. En juillet 2021, elle prédisait que bientôt chaque entreprise lèverait des fonds au moyen de ses propres cryptomonnaies, et annonçait : « Just wait for my new crypto project to drop! », attendez un peu la sortie de mon nouveau projet crypto [43]. En 2023, elle a partagé de la publicité de Zoo Labs. Zoo y est un projet « Game-Fi », un mélange de jeu et d'opérations financières sur la blockchain, avec des animaux sous forme de NFT [44]. Les mille premiers membres de la coopérative en ligne devaient recevoir un « œuf de pingouin » numérique [45]. Aujourd'hui, son profil LinkedIn décrit Zoo Labs comme une organisation à but non lucratif consacrée à la sécurité alimentaire, à l'entretien des terres et à la protection des espèces [39].

Le 23 octobre, Worring a appelé sur LinkedIn à soutenir les développeurs open source par des dons. Elle disait adorer le travail de Hanzo AI [46]. Le lien mène à la page de dons de Hanzo sur GitHub. Exactement trois donateurs y sont inscrits. L'un d'eux : son propre compte [47].

Les CV embellis ne manquent pas sur LinkedIn. Mais ici, il ne s'agit pas de quelques mois de plus ou de moins. Il s'agit de savoir qui dirige cette entreprise et depuis quand. À cette question simple, la direction de Hanzo donne elle-même plusieurs réponses.

Copié et renommé

Hanzo fait la promotion de toute une famille de programmes : Hanzo Dev, Hanzo Bot, Hanzo Analytics, Hanzo Vector, Hanzo Flow et bien d'autres. Cela évoque une grande équipe de développeurs. En réalité, presque rien de tout cela n'est le fruit de son propre travail. Ce sont des copies de programmes open source connus d'autres développeurs, avec un nouveau nom et un nouveau logo. Hanzo Dev dérive d'OpenAI Codex, un assistant de programmation de l'entreprise derrière ChatGPT, par le détour d'une autre copie [48]. Hanzo Bot, c'est OpenClaw, un assistant d'IA populaire pour son propre ordinateur [49]. Hanzo Analytics, c'est Umami, Hanzo Insights, c'est PostHog, Hanzo Vector, c'est Qdrant, Hanzo Flow, c'est Langflow. J'ai compté dix-huit reprises de ce genre.

C'est autorisé. Un logiciel open source peut être copié, modifié et même vendu, à condition de respecter la licence. La plupart du temps, cela signifie qu'il faut citer les auteurs d'origine. Hanzo le fait, mais là où presque personne ne le voit. Les noms des originaux ne figurent que dans un petit fichier texte du code, le fichier dit NOTICE. Dans celui de Hanzo Dev, il est expressément indiqué que les noms des projets d'origine n'apparaissent volontairement nulle part ailleurs : ni sur la page du projet, ni dans la description, ni dans le programme lui-même. Il s'agirait d'une règle maison fixe pour tout ce que Hanzo reprend [48]. Résultat : pour les utilisateurs, les programmes ressemblent à des développements maison. Quiconque ne cherche pas de façon ciblée n'apprend jamais à qui appartient le travail qu'il utilise.

Ce que Hanzo apporte lui-même figure aussi dans un fichier de ce type, celui de Hanzo Bot : une nouvelle apparence, une connexion via un compte Hanzo, une gestion pour les entreprises clientes et une facturation par client [49]. Ce qui est propre à Hanzo, c'est donc surtout la caisse : la couche par laquelle Hanzo connecte ses utilisateurs, les facture et transmet leurs requêtes.

Les chiffres sur GitHub vont dans le même sens, état au 7 novembre [50]. Hanzo y possède 558 dossiers de projets publics. 512 d'entre eux ont été créés en 2026, dont 362 rien qu'en juillet et août. Le 30 juillet, en une seule journée, 69 copies de composants logiciels connus s'y sont ajoutées. Sur GitHub, les utilisateurs peuvent marquer des projets d'une étoile, un peu comme avec des likes. Le projet le plus populaire de Hanzo a 18 étoiles. 384 projets ont exactement trois étoiles, 149 exactement quatre. On dirait que ce sont toujours les mêmes quelques comptes qui marquent tout. Sur son propre site, Hanzo parle de plus de 1 700 projets [18].

Les modèles d'IA aussi sont en grande partie empruntés. La propre documentation technique de Hanzo fait remonter la plupart de ses modèles Zen à Qwen3, un modèle de langage librement disponible du groupe chinois Alibaba [51].

Copié, mais pas réparé

Mais copier a un revers, et ce sont les utilisateurs qui en pâtissent. Quiconque reprend le code d'autrui reprend aussi ses défauts. Si l'équipe d'origine découvre une faille de sécurité, elle la corrige dans son programme. Dans la copie, la faille reste ouverte jusqu'à ce que le copieur reporte la correction. Pour Hanzo Bot, Hanzo écrit même lui-même que l'origine n'est à comprendre que de façon historique et ne signifie pas que Hanzo continue à suivre l'original [49]. Je voulais savoir ce que cela signifie en pratique. J'ai donc vérifié, pour sept programmes de Hanzo, où en est leur code et quelles failles les originaux ont comblées depuis.

Le résultat est mitigé, et alarmant à plusieurs endroits. Hanzo Dev suit de près son modèle signé OpenAI, et pour Hanzo Insights et le calendrier, je ne constate aucun retard.

Hanzo Bot : jusqu'à 388 failles connues, aucune de celles vérifiées n'est comblée

Tout autre chose avec Hanzo Bot. Son code en est resté à l'état qu'avait OpenClaw début mars 2026. Depuis, OpenClaw a publié des centaines d'avis de sécurité. Selon les indications de version d'OpenClaw lui-même, jusqu'à 388 d'entre eux concernent précisément cet état, dont onze sont considérés comme critiques [52]. J'ai vérifié quatre des failles critiques dans le code de Hanzo Bot. Aucune n'est comblée. L'une d'elles permet à un compte aux droits restreints de se nommer lui-même administrateur. OpenClaw lui attribue une note de 9,9 sur 10 [53]. Chez Hanzo, il manque précisément le contrôle avec lequel OpenClaw l'a comblée en mars [54].

Trois autres failles ouvertes, aucun avertissement aux utilisateurs

Dans Hanzo Vector, une base de données, il manque un interrupteur de protection avec lequel Qdrant a comblé une faille critique en octobre : dans un groupement de plusieurs serveurs, un accès interne était ouvert sans authentification. Des inconnus pouvaient s'inscrire comme serveur supplémentaire et siphonner des données. Note : 9,8 sur 10 [55] [56]. Dans Hanzo Analytics, un compteur de visites pour sites web, une clé que le compteur public délivre à chaque visiteur suffit pour récupérer les données de visite collectées. Umami a corrigé cela en juin, le code de Hanzo ne vérifie toujours pas la clé [57] [58]. Et dans Hanzo Flow, une boîte à outils pour enchaînements d'IA, la clé des identifiants enregistrés peut être prévisible. Langflow a signalé cela comme critique en août et l'a corrigé [59] [60].

Hanzo n'a publié d'avertissement à ses propres utilisateurs pour aucun de ces programmes. Les pages sur lesquelles les projets affichent ce genre d'avertissements sur GitHub sont vides chez Hanzo [61].

Pour remettre les choses en perspective : j'ai examiné le code publié, pas les services de Hanzo en fonctionnement. J'ignore si les offres en ligne de Hanzo sont tout aussi vulnérables. Mais le code montre comment Hanzo traite le travail des autres. Copier prend quelques minutes, entretenir prend des années. Hanzo a repris 69 composants logiciels en une seule journée. Visiblement, ils ne sont pas tous entretenus.

En a-t-on besoin ? Quiconque veut utiliser de nombreux modèles d'IA via un seul compte trouve pour cela des services établis comme OpenRouter. Qui utilise directement les originaux reçoit chaque correctif de sécurité le jour de sa publication. Qui utilise les copies de Hanzo attend Hanzo. Et certains correctifs n'arrivent apparemment jamais.

L'IA qui actionne l'aiguillage à tort

En octobre, la page d'entreprise de Hanzo claironnait que son modèle de décision maison, KAI, surpassait désormais les autres modèles d'IA d'Internet [62]. Joshua Lynch a renchéri : les modèles de Hanzo seraient désormais entraînés à protéger des vies humaines [63].

La preuve avancée est un test qui repose sur une vieille expérience de pensée, le dilemme du tramway. Un tramway fonce sur un groupe de personnes. On se trouve à un aiguillage et on peut dévier le tramway sur une autre voie, où se trouvent d'autres personnes. Faut-il actionner l'aiguillage ? Les philosophes en débattent depuis des décennies. Les chercheurs en IA en utilisent de nombreuses variantes pour vérifier si un modèle décide de façon raisonnable et sans contradictions face à des questions de vie ou de mort. Cela devient plus important, parce que les programmes d'IA agissent de plus en plus souvent par eux-mêmes.

Pour cela, Hanzo a repris un test d'autres chercheurs, comportant 5 240 variantes du problème [64]. Dans 672 d'entre elles, la situation est sans ambiguïté : actionner l'aiguillage tue plus de personnes qu'il n'en sauve. La bonne réponse serait donc de laisser l'aiguillage tel quel. Le modèle Kai de Hanzo l'actionne pourtant dans 655 de ces 672 cas. Aucun autre modèle du propre tableau comparatif de Hanzo ne s'en sort aussi mal [65].

Le bon score que Hanzo met en avant, Kai ne l'atteint qu'avec un filtre supplémentaire appelé Nio. Et celui-ci a surtout pour effet que le modèle ne répond pas du tout : dans 4 905 cas sur 5 240. Qui ne répond pas ne peut pas non plus mal répondre. La description du test prévient elle-même que la comparaison n'est pas équitable (en version originale : « Not like-for-like ») [64]. Antje Worring a même écrit sur LinkedIn qu'ils ne prétendaient pas avoir résolu le problème [66]. La page d'entreprise tient un autre discours.

Ces chiffres non plus n'ont pas toujours été ceux-là. Dans la version du tableau du 19 octobre, Kai avec Nio affichait zéro mauvaise décision et zéro contradiction [67]. Ce n'est que le 2 novembre que Hanzo a corrigé les valeurs : 4 mauvaises décisions et 4 905 contradictions sur 5 240 cas. L'avertissement selon lequel la comparaison n'est pas équitable n'existe lui aussi que depuis cette correction [68]. Les publications sur LinkedIn dataient alors déjà d'environ deux semaines [62] [63] [66].

C'est ce qui me dérange le plus dans cette partie. Hanzo fait sa publicité avec la vie et la mort, avec une IA qui protégerait prétendument des vies humaines. Ses propres chiffres montrent le contraire. Quelqu'un qui traite ainsi des résultats, je ne le croirais pas sur parole non plus quand il s'agit de la sécurité de son logiciel.

Ce qui plaide en faveur de Hanzo

Hanzo n'est pas une entreprise née d'hier. Elle existe depuis 2014, et sa participation au programme Techstars à Kansas City en 2017 est attestée [25]. Les programmes open source repris conservent leurs licences, les auteurs figurent dans les fichiers NOTICE [48]. Dans le code, je n'ai trouvé aucun logiciel malveillant, et certaines mesures de protection sont bien pensées. Hanzo empêche par exemple que des projets tiers injectent des commandes via des paramètres cachés [69]. D'après la politique de confidentialité, le pistage publicitaire ne se charge dans l'UE qu'après consentement, et Hanzo demande avant le premier chat s'il peut utiliser les données pour entraîner ses modèles [70]. La patronne s'est excusée auprès de moi et a proposé de me supprimer de la liste. Et concernant CryptoZoo, Zach Kelling se considère lui-même comme lésé.

Ce qui plaide contre Hanzo, c'est surtout ce que fait le logiciel dans sa configuration par défaut. Et qui en porte la responsabilité.

Sans demander, piloté depuis le cloud

Hanzo propose des outils pour les programmeurs qui travaillent avec l'IA. Au centre se trouvent ce qu'on appelle des agents d'IA. Ce sont des programmes qui ne se contentent pas d'écrire des textes, mais qui agissent eux-mêmes : ils exécutent des commandes sur l'ordinateur, modifient des fichiers, cherchent sur Internet. Pour que rien ne tourne mal, les agents courants demandent avant chaque étape délicate : puis-je faire cela ?

Le logiciel de Hanzo désactive précisément cette question. Il lance par exemple Claude Code, l'agent de programmation bien connu de l'entreprise Anthropic, d'emblée de façon à ce qu'il agisse sans demander. Le code indique à ce sujet que l'approbation automatique est activée par défaut (en version originale : « Auto-approve is ON by default ») [69]. Pour être consulté, il faut le paramétrer expressément.

En plus, Hanzo fournit aux agents une boîte à outils, ce que les spécialistes appellent un serveur MCP. Elle contient d'office des outils pour exécuter des commandes, lire et écrire des fichiers, charger des contenus depuis Internet, piloter un navigateur et contrôler directement l'ordinateur [71]. Selon la propre description de sécurité de Hanzo, ils fonctionnent avec tous les droits de l'utilisateur [72].

Pour les commandes particulièrement dangereuses, la boîte à outils dispose d'un niveau de sécurité. Seulement, elle ne demande pas elle-même à l'humain. Selon le code, elle laisse passer la commande dès que l'agent joint une autorisation, et compte sur le fait que le programme de l'utilisateur a demandé confirmation auparavant [73]. Or, c'est justement cette demande que Hanzo a désactivée pour Claude Code.

Et le serveur de Hanzo a son mot à dire. À chaque démarrage, le logiciel récupère jusqu'à 16 instructions depuis le serveur et les dépose là où l'agent cherche ses consignes de travail. Les spécialistes appellent cela des skills [74]. Le serveur de Hanzo peut mettre en pause des sessions en cours, les arrêter ou leur confier une nouvelle mission. Dans le code, une phrase résume bien la situation :

« cloud steers, this supervisor obeys » (Le cloud pilote, le programme obéit.) extrait du code de Hanzo [75]

Mis bout à bout, cela forme une chaîne. Un serveur exploité par Hanzo donne des instructions à un programme. Le programme les exécute sur l'ordinateur, avec tous les droits de l'utilisateur, sans demander. Je n'ai aucun indice que Hanzo en abuse. Mais quiconque prendrait le contrôle du serveur de Hanzo ou d'un compte sur ce serveur aurait cette voie ouverte.

Où vont tes données

Quiconque est connecté à Hanzo envoie par défaut son travail en direct à Hanzo : les saisies destinées à l'IA, ses réponses et tout ce que les outils produisent au passage. Cela peut aussi être le contenu de fichiers, jusqu'à 48 kilo-octets par entrée, soit environ 49 000 caractères [76]. S'y ajoutent le nom du projet, le dossier et le nom de l'ordinateur [77]. Qui ne le veut pas doit le désactiver expressément [78].

Un autre outil envoie sur demande jusqu'à 5 000 fichiers d'un projet chez Hanzo [79]. Dans leurs projets, les programmeurs créent souvent un fichier contenant des mots de passe et des clés d'accès, généralement nommé .env. Ils tiennent en outre une liste des fichiers qui ne doivent jamais être envoyés. L'outil de Hanzo ignore les deux. Et comme l'agent travaille sans demander, c'est lui qui décide quand il l'utilise.

Le logiciel lui-même se signale aussi à Hanzo à chaque appel : quelle commande a été exécutée, pendant combien de temps et avec quel résultat, plus un identifiant de l'appareil et, si l'on est connecté, la clé d'accès personnelle [80].

Qui reçoit les données au bout du compte ? Ce n'est pas clair. Selon les conditions d'utilisation, une requête peut être transmise à plusieurs fournisseurs d'IA, et le modèle derrière un nom Hanzo peut changer à tout moment [81]. On ne sait donc pas avec certitude quelle IA répond. La liste des prestataires qui reçoivent des données est marquée comme brouillon, et beaucoup des indications qu'elle contient comme non confirmées [82].

La politique de confidentialité est la première version et s'applique, selon sa propre date, depuis le 25 octobre 2026 [70]. Elle désigne les États-Unis comme lieu de traitement. Elle ne mentionne pas de représentant dans l'UE, que les entreprises situées hors de l'UE doivent généralement désigner en vertu du RGPD. Et sur la page de Hanzo qui présente les textes juridiques, on lit : « Status: draft, pending counsel », un brouillon que des avocats doivent encore examiner. Les textes seraient « not yet effective », pas encore en vigueur [83]. Alors, qu'est-ce qui s'applique ? Apparemment, même Hanzo ne le sait pas.

Neuf comptes ayant accès à tes mises à jour

Aujourd'hui, un logiciel arrive rarement d'un seul bloc sur l'ordinateur. Il est distribué via des registres de paquets et mis à jour en permanence. Qui a le droit d'y publier de nouvelles versions détermine ce qui atterrit sur les ordinateurs des utilisateurs.

Hanzo recommande d'installer le logiciel avec une seule commande, qui télécharge un programme depuis Internet et le lance aussitôt [84]. À chaque appel, ce programme va chercher la version du moment du véritable programme d'installation dans le dossier de projet de Hanzo sur GitHub. Il n'existe pas de version fixe et vérifiée. Pour contrôler, le programme d'installation compare une somme de contrôle, une sorte d'empreinte digitale du fichier. Seulement, l'empreinte provient de la même source que le fichier. Hanzo écrit lui-même dans le code qu'elle ne prouve donc rien quant à l'origine du fichier [85]. Une véritable vérification de l'origine n'existe que pour certains programmes.

Sur le registre de paquets npm, le plus grand répertoire de composants logiciels pour le langage JavaScript, neuf comptes ont le droit de publier le paquet de Hanzo [86]. Trois appartiennent de manière reconnaissable à Hanzo, à Kelling et à Worring. Les six autres passent par des adresses e-mail gratuites chez Gmail et Proton. Impossible de savoir qui se cache derrière. Cela ne veut pas forcément dire quelque chose de grave. Mais chacun de ces comptes est une porte. Si l'un d'eux est piraté, l'attaquant peut publier une version infectée, et celle-ci arrive chez tous ceux qui installent ou mettent à jour le paquet de Hanzo. Il manque aussi une attestation de provenance, par laquelle npm prouve qu'un paquet a vraiment été construit à partir du code publié.

De l'extérieur, presque personne ne regarde ce code. Les trois projets les plus importants de Hanzo pour ces outils ont 11, 9 et 3 étoiles sur GitHub [50]. Quiconque veut signaler une faille de sécurité de manière confidentielle doit chiffrer son message avec une clé de Hanzo. Or, selon la description de sécurité de Hanzo, cette clé n'existe même pas encore : on y lit seulement « TBD », à définir [72].

Au cours de l'été, il y a eu une vraie faille. Hanzo propose de partager avec d'autres une fenêtre de commande de son propre ordinateur. Selon un commentaire dans le code, ces partages étaient auparavant accessibles à n'importe quel compte chez Hanzo, quelle que soit l'organisation à laquelle il appartenait [87]. Hanzo a corrigé cela le 11 août [88]. Je n'ai trouvé aucun avertissement aux utilisateurs, la page des avis de sécurité du projet est vide [89].

Le risque, poussé jusqu'au bout

Pris isolément, presque chacun de ces constats peut s'expliquer. Un agent qui ne demande pas fait gagner du temps. Un serveur qui envoie des instructions maintient le logiciel à jour. Un outil d'envoi de fichiers est pratique. Cela devient dangereux quand on assemble les pièces. Alors, sur ton ordinateur, un programme travaille avec tous tes droits, ne demande rien, accepte des ordres venus du cloud et peut envoyer tes fichiers, mots de passe compris. Qui pilote ce programme pilote ton ordinateur.

S'y ajoute un danger qui concerne tous les agents d'IA et pèse particulièrement lourd chez Hanzo : ce qu'on appelle l'injection de prompt. Il s'agit d'instructions cachées dans des textes, des pages web ou des fichiers, qu'une IA lit et prend pour une mission [90]. Un commentaire piégé dans le code de quelqu'un d'autre, une page web manipulée, et l'agent fait quelque chose que son utilisateur n'a jamais voulu. Les agents courants demandent confirmation à ce moment-là. L'agent de Hanzo ne demande pas.

Et puis il y a les risques silencieux. Neuf comptes peuvent publier de nouvelles versions, et personne ne peut identifier six d'entre eux. Selon Hanzo, les textes juridiques ne sont même pas encore en vigueur. Les données partent aux États-Unis, il n'y a pas d'interlocuteur dans l'UE. Hanzo a comblé une faille de sécurité sans avertir ses utilisateurs, et dans plusieurs copies, il manque des correctifs que les originaux ont publiés depuis longtemps. Chaque point, pris isolément, serait une raison d'y regarder de près. Ensemble, ils forment pour moi un tableau clair : Hanzo exige une confiance maximale et offre en retour des garanties minimales.

Derrière l'IA : la prochaine cryptomonnaie

Hanzo vient du monde des cryptos, et ses projets continuent de s'y inscrire. Dans l'un de ses propres documents de principe, au statut « Final », Hanzo décrit sa propre cryptomonnaie appelée « $AI » [91]. Un milliard d'unités sont prévues. 30 pour cent doivent revenir aux personnes qui mettent de la puissance de calcul à disposition, 5 pour cent doivent être vendus publiquement, et les échanges doivent se faire sur une bourse appelée lux.exchange. L'adresse de la monnaie sur la blockchain n'est pas encore fixée. Le logiciel de Hanzo peut déjà aujourd'hui intégrer un ordinateur au réseau blockchain Lux [92] et créer sur commande un portefeuille numérique [93].

Lux est une autre entreprise de l'entourage de Kelling. Sur LinkedIn, il se présente comme fondateur de LUX [21]. Selon les sources, Worring y était designer, directrice du design ou responsable des opérations courantes. Sur son site, Lux Partners met en avant un transmetteur de fonds agréé et supervisé, basé sur l'île de Man. De quelle entreprise il s'agit, la page d'accueil ne le dit pas [94]. Dans le registre de l'autorité financière locale ne figurent ni Lux Partners, ni Hanzo, ni Zoo. La recherche de « lux » ne trouve qu'un fonds et une entreprise appelée Flux Limited [95].

Je n'ai pas pu établir si la cryptomonnaie $AI a déjà été émise ou vendue. Le plan, lui, est prêt.

Pourquoi une entreprise qui veut proposer des outils aux programmeurs a-t-elle besoin de sa propre cryptomonnaie ? L'histoire de Hanzo donne une réponse : la vente de jetons pour Unikrn, une cryptomonnaie appelée ZOO, maintenant $AI. L'IA est nouvelle. Le modèle économique qui se cache dessous semble familier.

Ce qui m'amène à la question qui ne me lâche plus depuis que j'ai lu le code. Le logiciel de Hanzo peut intégrer un ordinateur à un réseau blockchain et créer un portefeuille. La monnaie prévue doit récompenser les personnes qui mettent de la puissance de calcul à disposition. Par défaut, c'est désactivé. Mais ce même logiciel exécute des commandes sans demander, accepte des instructions venues du cloud et peut, comme tout agent d'IA, être dupé par des instructions injectées. Qui garantit que ton propre ordinateur ne travaillera pas un jour en arrière-plan pour un réseau crypto tiers, sur ordre du serveur ou à cause d'un attaquant ? Personne. Je n'ai aucun indice que Hanzo ait l'intention de faire une telle chose. Mais les briques pour le faire sont posées côte à côte, dans le même logiciel, chez la même entreprise.

Ce que cela signifie juridiquement

Je ne suis pas avocat, mais les règles sont claires. Selon le paragraphe 7 de la loi allemande contre la concurrence déloyale (UWG), la publicité par e-mail sans consentement préalable et exprès constitue toujours une nuisance inacceptable [96]. Cela vaut pour les particuliers comme pour les entreprises.

Hanzo est basé aux États-Unis, l'expéditeur de l'e-mail que j'ai reçu, selon LinkedIn, en Irlande, donc dans l'UE [4]. Le RGPD européen s'applique malgré tout lorsqu'une entreprise propose des services à des personnes dans l'UE, c'est ce que prévoit l'article 3 [97]. Une invitation en allemand à une version de test est une telle offre. Quiconque ne collecte pas des données directement auprès de la personne concernée doit, selon l'article 14, l'en informer, y compris sur l'origine des données. L'e-mail ne contenait rien de tout cela. Et quiconque invoque un consentement, comme la patronne de Hanzo, doit, selon l'article 7, être en mesure de le prouver.

À cela s'ajoutent les propres règles de GitHub, qui interdisent précisément cette utilisation des données [2].

14 minutes avant l'expulsion

Le 6 novembre à 20 h 42, j'envoie à Hanzo sept questions par e-mail. D'où vient mon adresse ? Pourquoi « filament » figurait-il dans l'objet, et y a-t-il un lien avec le projet Filament ? D'où vient l'autorisation pour l'e-mail ? Hanzo connaît-il les règles de l'UE sur les e-mails publicitaires ? Un programme d'IA a-t-il écrit l'e-mail, et si oui, quel est alors le niveau de sécurité du logiciel ? Hanzo a-t-il extrait des données de GitHub, et avec quelle autorisation ? Je donne 24 heures pour répondre.

La modération de Hanzo est plus rapide que n'importe quelle réponse. À 20 h 56, 14 minutes après mon e-mail, un modérateur me retire du serveur Discord de Hanzo. Jusqu'à la parution de cet article, aucune réponse à mon e-mail n'est arrivée. Ce que la patronne m'avait écrit peu avant, le même soir, dans le chat, figure plus haut.

Conclusion : confierais-je mon ordinateur à Hanzo ?

Hanzo en demande beaucoup. Quiconque utilise le logiciel avec sa configuration par défaut laisse une IA travailler sans demander sur son propre ordinateur. Il envoie ses saisies, les réponses et le contenu de ses fichiers à Hanzo, accepte des instructions du serveur de Hanzo et laisse son propre travail être piloté depuis le cloud. Sur demande, des projets entiers, fichiers de mots de passe compris, partent chez Hanzo. On peut difficilement donner plus d'accès à un outil. C'est pourquoi, au bout du compte, une question compte avant tout : à qui le donne-t-on ?

Les personnes

Au cœur de l'entreprise, il y a deux personnes, Zach Kelling et Antje Worring. Kelling a fondé Hanzo en 2014. À l'époque, il se présentait comme patron, aujourd'hui comme directeur technique. Son CV affiche plusieurs postes à temps plein en même temps, sur site à San Francisco et à New York. Une étape y manque : CryptoZoo, le jeu crypto de Logan Paul, pour lequel il a travaillé, selon Decrypt, comme développeur et premier directeur technique. Kelling s'y considère lui-même comme lésé, et il ne figure pas parmi les défendeurs de l'action collective. Pourtant, cette étape manque dans son profil, alors que Hanzo célèbre pour la même année 2021 une cryptomonnaie appelée ZOO comme un grand succès.

Worring se présente comme la patronne, la propre page d'équipe de Hanzo la présente comme responsable des opérations courantes. Ses CV se contredisent sur plusieurs étapes, et sa première publication LinkedIn sur Hanzo date de cette année. L'expéditeur de l'e-mail que j'ai reçu, Joshua Lynch, est un fellow à durée déterminée. En parallèle, il fait la promotion d'une cryptomonnaie et présente une plateforme d'investissement sur laquelle figurent aussi des projets d'énergie à partir de rien.

L'entreprise

Hanzo existe, c'est attesté. Presque tout le reste demeure flou. L'entreprise indique trois années de création et trois villes comme siège. Ses deux adresses à San Francisco sont des clubs de fondateurs. Sur Discord, deux personnes font partie de l'équipe, sur LinkedIn de 11 à 50, sur la page d'équipe 16 personnes et 16 programmes d'IA. Je n'ai pas pu vérifier si « Hanzo AI, Inc. » est enregistrée en tant que société, où, et avec quels responsables. Selon CB Insights, Hanzo a reçu 120 000 dollars de capital [98]. Je n'ai trouvé aucune déclaration auprès du gendarme américain de la Bourse concernant un tour de financement [99], et Hanzo ne publie pas de chiffres financiers [100]. Selon Hanzo, ses propres textes juridiques sont un brouillon.

Les antécédents

Hanzo s'est réinventé à chaque tendance : boutiques en ligne, blockchain, carte de crédit crypto, intelligence artificielle. La phrase publicitaire centrale du site est restée la même, seul le mot « blockchain » a été remplacé par « IA ». La vente de jetons que Hanzo présente comme un succès de ses débuts était, selon la SEC, une offre de valeurs mobilières non enregistrée. Le premier client a fait faillite. Et derrière l'IA, Hanzo prépare déjà sa prochaine cryptomonnaie maison.

Le logiciel

Les programmes sont pour la plupart des copies renommées de projets d'autrui. La part propre à Hanzo est la couche par laquelle les utilisateurs se connectent, paient et envoient leurs données chez Hanzo. C'est précisément cette couche qui pose problème : pas de demandes de confirmation, pilotage depuis le cloud, envois de fichiers sans protection des mots de passe. Neuf comptes peuvent publier de nouvelles versions, et personne ne peut identifier six d'entre eux. Une faille de sécurité a été comblée sans avertissement aux utilisateurs, dans plusieurs copies il manque des correctifs que les originaux ont publiés depuis longtemps, et une clé pour les signalements confidentiels n'existe pas encore. Et Hanzo laisse expressément ouvert le choix du modèle d'IA qui répond au bout du compte.

Le premier contact

Hanzo m'a contacté par un e-mail publicitaire fondé sur mes données GitHub, contrairement aux règles de GitHub et sans mon consentement. Quand j'ai posé des questions, la patronne a invoqué une autorisation de tous les utilisateurs, qui n'a jamais existé dans mon cas. Ensuite, elle a mis l'e-mail sur le compte d'un seul collaborateur. 14 minutes après mes questions écrites, j'étais retiré du serveur Discord. Aucune réponse à mes questions n'est arrivée.

Mon verdict

Ici, le plus grand scepticisme est de mise. Je ne confierais à Hanzo ni mon ordinateur, ni mon code, ni mes identifiants. Un logiciel qui agit sans demander exige de ses utilisateurs une confiance aveugle. Cette confiance, une entreprise doit la mériter : avec une situation claire, des textes juridiques en vigueur et une communication honnête. Chez Hanzo, je ne trouve rien de tout cela. J'ignore si, derrière la façade, il y a davantage qu'une petite équipe aux grandes ambitions. Pour dire non, je n'ai pas besoin de le savoir.

Comment te protéger

Si tu publies du code sur GitHub, configure ton compte pour que ton adresse e-mail reste privée. GitHub te donne alors une adresse de substitution pour tes commits [101]. Les anciens commits gardent l'ancienne adresse.

Si tu as reçu l'e-mail toi aussi : selon l'article 15 du RGPD, tu peux demander d'où Hanzo tient tes données. Selon l'article 7, Hanzo doit te prouver le prétendu consentement, et selon l'article 21, tu peux t'opposer à la publicité [97]. GitHub accepte les signalements d'abus via la fonction « Report abuse ».

Et avant de donner à un outil d'IA, quel qu'il soit, l'accès à ton ordinateur, cinq questions valent la peine d'être posées :

1. Qui est derrière ? Existe-t-il une entreprise enregistrée avec une adresse et des responsables ?
2. Les textes juridiques sont-ils en vigueur, et désignent-ils un interlocuteur dans l'UE ?
3. L'outil demande-t-il confirmation avant chaque action délicate ?
4. Où vont tes données, et qui les reçoit au bout du compte ?
5. Qui a le droit de publier de nouvelles versions, et comment signaler des failles de sécurité ?

Tu as toi aussi reçu du courrier de Hanzo ? Écris-moi, et je compléterai l'article.

Hanzo en bref

• Entreprise : Hanzo AI, Inc., holding Hanzo Industries Inc. (détient 51 pour cent selon Hanzo)
• Fondée : en 2014 selon Startland News, d'abord sous le nom de Crowdstart. Hanzo lui-même indique 2013, 2014 et 2016.
• Siège selon Hanzo : Kansas City, San Francisco ou Los Angeles
• Adresses : 1 Ferry Building, San Francisco (SHACK15) ; 995 Market Street, San Francisco (Frontier Tower) ; 405 Southwest Blvd #200, Kansas City
• Domaines : hanzo.ai, hanzo.app, hanzo.sh, hanzoskills.com, hanzo.blog, hanzo.bot
• Expéditeur de l'e-mail : joshua@hanzo.app, envoi via SendGrid
• Personnes : Zach Kelling (fondateur, aujourd'hui directeur technique, selon Decrypt autrefois développeur et premier directeur technique de CryptoZoo), Antje Worring (se présente comme CEO, COO sur la page d'équipe), Joshua Lynch (« Fellow » depuis octobre 2026)
• Sans lien avec : Hanzo Archives (Royaume-Uni), Hanzo Solutions

Sources

1. Mon commit Filament du 18 septembre 2025 (adresse visible dans la vue patch) : https://github.com/filamentphp/filament/commit/e4be0d2fe3af388250b098ae10258afa776bcf9c
2. GitHub, règles d'utilisation (Acceptable Use Policies), sections 7 et 8 : https://docs.github.com/en/site-policy/acceptable-use-policies/github-acceptable-use-policies
3. Hacker News, « Tell HN: YC companies scrape GitHub activity, send spam emails to users » : https://news.ycombinator.com/item?id=47163885
4. Profil LinkedIn de Joshua Lynch : https://www.linkedin.com/in/joshua-lynch-mba-1b603919b/
5. Webby AI, à propos : https://webbyai.cc/about/
6. Hanzo, page d'équipe : https://hanzo-industries.pages.dev/team
7. Hanzo, page carrières : https://hanzo.ai/careers
8. Publication LinkedIn de Joshua Lynch du 28 octobre 2026, recommandation de Hanzo : https://www.linkedin.com/posts/joshua-lynch-mba-1b603919b_if-you-would-like-to-reduce-your-ai-spend-ugcPost-7521187590696431616-c6tr/
9. Publication de groupe LinkedIn de Joshua Lynch du 27 octobre 2026, Qortal comme « next bitcoin moment » : https://www.linkedin.com/feed/update/urn:li:groupPost:2256615-7520854126252179460/
10. Publication LinkedIn de Joshua Lynch du 27 octobre 2026, des Qort contre une adresse de portefeuille : https://www.linkedin.com/posts/joshua-lynch-mba-1b603919b_blockchain-crypto-rwa-ugcPost-7520844492502040577-SJNG/
11. Publication LinkedIn de Joshua Lynch du 1er novembre 2026, plateforme DeSci : https://www.linkedin.com/posts/joshua-lynch-mba-1b603919b_desci-rwa-qortal-ugcPost-7522701860814688256-qUtF/
12. Wikipedia, Ruggero Santilli : https://en.wikipedia.org/wiki/Ruggero_Santilli
13. Publication LinkedIn de Joshua Lynch du 2 novembre 2026, plateforme avec dividendes : https://www.linkedin.com/posts/joshua-lynch-mba-1b603919b_rwa-blockchain-investment-ugcPost-7523031002924003328-Rz8U/
14. Hanzo AI sur LinkedIn, 5 novembre 2026, partage la publication de Joshua Lynch : https://www.linkedin.com/feed/update/urn:li:activity:7524225067266846720/
15. Serveur Discord de Hanzo (invitation) : https://discord.gg/XthHQQj
16. LinkedIn, page d'entreprise « Hanzo AI » : https://www.linkedin.com/company/hanzo-ai/
17. Hanzo, documentation : https://docs.hanzo.ai/
18. Hanzo, page d'historique : https://hanzo.ai/history
19. LinkedIn, page d'entreprise « Hanzo » : https://www.linkedin.com/company/hanzoai/about/
20. Hanzo, page presse : https://hanzo-industries.pages.dev/press
21. Profil LinkedIn de Zach Kelling, expérience professionnelle : https://www.linkedin.com/in/zeekay/details/experience/
22. SHACK15 : https://www.shack15.com
23. Frontier Tower : https://frontiertower.io
24. Instagram, compte « hanzoinc » : https://www.instagram.com/hanzoinc/
25. Startland News, 10 octobre 2017, « Techstars Spotlight: Hanzo's e-commerce tools designed to make you money » : http://www.startlandnews.com/2017/10/techstars-spotlight-hanzos-e-commerce-tools-designed-to-make-you-money/
26. hanzo.ai en mai 2018, Wayback Machine : https://web.archive.org/web/20180509070330/https://hanzo.ai/
27. hanzo.ai en décembre 2023, Wayback Machine : https://web.archive.org/web/20231204024957/https://hanzo.ai/
28. hanzo.ai en février 2024, Wayback Machine : https://web.archive.org/web/20240227022014/https://hanzo.ai/
29. SEC, communiqué de presse 2020-211 sur Unikrn, 15 septembre 2020 : https://www.sec.gov/news/press-release/2020-211
30. TechCrunch, 26 juillet 2016, sur SKULLY : https://techcrunch.com/2016/07/26/once-promising-ar-motorcycle-helmet-startup-skully-has-crashed-and-burned/
31. Registre des domaines (RDAP) pour hanzo.ai : https://rdap.org/domain/hanzo.ai
32. Profil GitHub de Zach Kelling : https://github.com/zeekay
33. Decrypt, 6 janvier 2023, sur CryptoZoo et Kelling : https://decrypt.co/118582
34. Coffeezilla, « Investigating Logan Paul's Biggest Scam », YouTube : https://www.youtube.com/watch?v=386p68_lDHA
35. Cointelegraph, action collective contre Logan Paul et CryptoZoo : https://cointelegraph.com/news/logan-paul-and-cryptozoo-sued-in-class-action-lawsuit
36. Decrypt, janvier 2024, offre de rachat : https://decrypt.co/211776/logan-paul-launches-cryptozoo-nft-buyback-files-countersuit-as-legal-battles-rage-on/
37. Decrypt, 1er juillet 2023, sur CryptoZoo, Kelling et Zoo Labs : https://decrypt.co/es/146988/promesas-rotas-logan-paul-sigue-sin-reembolsar-compradores-cryptozoo-nft
38. ProPublica, Zoo Labs Foundation (données de l'administration fiscale américaine) : https://projects.propublica.org/nonprofits/organizations/883538992
39. Profil LinkedIn d'Antje Worring : https://www.linkedin.com/in/antje-worring/
40. Site web d'Antje Worring : https://antjeworr.ing
41. Startup Grind Bali sur LinkedIn, 24 juin 2024, partagé par Antje Worring : https://www.linkedin.com/feed/update/urn:li:activity:7210839522501173248/
42. Publication LinkedIn d'Antje Worring du 16 février 2026, site web avec hanzo.bot : https://www.linkedin.com/posts/antje-worring_in-a-world-where-our-relationships-are-split-share-7429284964153847808-e6Rm/
43. Publication LinkedIn d'Antje Worring du 14 juillet 2021 sur les ICO : https://www.linkedin.com/posts/antje-worring_kcollective-share-6821106138327592960-Symj/
44. Publication LinkedIn d'Antje Worring du 23 mars 2023, Zoo comme « Game-Fi » : https://www.linkedin.com/posts/antje-worring_ugcPost-7044482514891010048-q6h3/
45. Publication LinkedIn d'Antje Worring du 12 juillet 2023, Zoo DAO et œuf de pingouin : https://www.linkedin.com/posts/antje-worring_join-the-zoo-dao-and-save-animals-with-gamification-share-7084979741912444928-NChX/
46. Publication LinkedIn d'Antje Worring du 23 octobre 2026, appel aux dons : https://www.linkedin.com/posts/antje-worring_sponsor-your-favorite-open-source-contributors-share-7519194739687133184-Wq7E/
47. Hanzo sur GitHub Sponsors : https://github.com/sponsors/hanzoai
48. Fichier NOTICE de Hanzo Dev : https://github.com/hanzoai/dev/blob/main/NOTICE
49. Fichier NOTICE de Hanzo Bot : https://github.com/hanzoai/bot/blob/main/NOTICE
50. Hanzo sur GitHub : https://github.com/hanzoai
51. Hanzo, document HIP-0039 sur les modèles Zen : https://github.com/hanzoai/HIPs/blob/main/HIPs/hip-0039-zen-model-architecture.md
52. OpenClaw, avis de sécurité publiés : https://github.com/openclaw/openclaw/security/advisories
53. OpenClaw, avis GHSA-4jpw-hj22-2xmc du 12 mars 2026, critique : https://github.com/openclaw/openclaw/security/advisories/GHSA-4jpw-hj22-2xmc
54. Code de Hanzo Bot, nouvelles clés d'accès sans contrôle des droits : https://github.com/hanzoai/bot/blob/5e60419342c816c01b0e6d298316a15e27823108/src/gateway/server-methods/devices.ts#L149-L168
55. Qdrant, avis GHSA-frc7-44gm-99qq du 22 octobre 2026, critique : https://github.com/qdrant/qdrant/security/advisories/GHSA-frc7-44gm-99qq
56. Paramètres de Hanzo Vector, sans l'interrupteur de protection enforce_internal_auth : https://github.com/hanzoai/vector/blob/6e02ab9e1aaa0def4ca29c2510e992f8efa040b6/config/config.yaml
57. Umami, avis GHSA-3xx8-742v-m4mq du 30 juin 2026 : https://github.com/umami-software/umami/security/advisories/GHSA-3xx8-742v-m4mq
58. Code de Hanzo Analytics, vérification des clés de partage : https://github.com/hanzoai/analytics/blob/e5669c4598469c7661d3d4df0680e5e68e1182e3/src/lib/auth.ts#L147-L154
59. Langflow, avis GHSA-jxw3-mjmx-3pqm du 12 août 2026, critique : https://github.com/langflow-ai/langflow/security/advisories/GHSA-jxw3-mjmx-3pqm
60. Code de Hanzo Flow, clé via random.seed : https://github.com/hanzoai/flow/blob/5c38bcef83227064222536c43fb7608f9afcdcc9/src/backend/base/flow/services/auth/utils.py#L349-L351
61. Hanzo Bot, page des avis de sécurité : https://github.com/hanzoai/bot/security/advisories
62. Publication LinkedIn de Hanzo AI du 19 octobre 2026 sur KAI : https://www.linkedin.com/posts/our-decision-model-kai-now-is-out-performing-share-7517981008667828226-tRkA/
63. Publication LinkedIn de Joshua Lynch du 20 octobre 2026 sur le test du tramway : https://www.linkedin.com/posts/joshua-lynch-mba-1b603919b_ai-technology-share-7518304576517779456-lGaw/
64. Hanzo, test du tramway pour Kai : https://github.com/hanzoai/trolley-bench
65. Hanzo, test du tramway, tableau comparatif de Kai avec et sans Nio, état au 2 novembre 2026 : https://github.com/hanzoai/trolley-bench/blob/6cba2c9eb4e9b9c01dfbbad928609f0253af52c8/README.md?plain=1#L36-L38
66. Publication LinkedIn d'Antje Worring du 17 octobre 2026 sur le test du tramway : https://www.linkedin.com/posts/antje-worring_decisionmodels-agenticframework-workflows-share-7517281855059193858-SAHj/
67. Hanzo, test du tramway, tableau des résultats dans sa version du 19 octobre 2026 : https://github.com/hanzoai/trolley-bench/blob/7ebe7857c3fdaf5b2ac2100c04e5218ba8f448b0/README.md?plain=1#L12-L15
68. Hanzo, correction des chiffres du test du tramway et nouvel avertissement le 2 novembre 2026 : https://github.com/hanzoai/trolley-bench/commit/6cba2c9eb4e9b9c01dfbbad928609f0253af52c8
69. Code « gen », lancement de Claude Code : https://github.com/hanzoai/gen/blob/7846eed181a15047e5b1b3ec1a092a9a4d8ad82b/src/claude.rs
70. Hanzo, politique de confidentialité : https://hanzo.ai/privacy
71. Code de la boîte à outils (MCP), liste des outils : https://github.com/hanzoai/mcp/blob/99894639f353ce0d368b23471c81ac89d37e703d/rust/src/lib.rs
72. Description de sécurité de la boîte à outils : https://github.com/hanzoai/mcp/blob/99894639f353ce0d368b23471c81ac89d37e703d/SECURITY.md
73. Code du niveau de sécurité : https://github.com/hanzoai/mcp/blob/99894639f353ce0d368b23471c81ac89d37e703d/rust/src/tools/verdict.rs
74. Code « gen », instructions provenant du serveur : https://github.com/hanzoai/gen/blob/7846eed181a15047e5b1b3ec1a092a9a4d8ad82b/src/kit.rs
75. Code « gen », pilotage depuis le cloud : https://github.com/hanzoai/gen/blob/7846eed181a15047e5b1b3ec1a092a9a4d8ad82b/src/control.rs
76. Code « gen », sorties des outils jusqu'à 48 kilo-octets : https://github.com/hanzoai/gen/blob/7846eed181a15047e5b1b3ec1a092a9a4d8ad82b/src/event.rs#L177-L185
77. Code « gen », informations transmises sur le dossier, le projet et l'ordinateur : https://github.com/hanzoai/gen/blob/7846eed181a15047e5b1b3ec1a092a9a4d8ad82b/src/context.rs#L4-L5
78. Code « gen », transmission activée par défaut : https://github.com/hanzoai/gen/blob/7846eed181a15047e5b1b3ec1a092a9a4d8ad82b/src/lib.rs#L122-L125
79. Code de la boîte à outils, envoi de projets : https://github.com/hanzoai/mcp/blob/99894639f353ce0d368b23471c81ac89d37e703d/rust/src/tools/cloud_code.rs
80. Code de la ligne de commande, rapports d'utilisation : https://github.com/hanzoai/cli/blob/95b7b84c6f3525ebd30ed5d8080fb460e9593790/src/telemetry.rs
81. Hanzo, conditions d'utilisation : https://hanzo.ai/terms
82. Hanzo, liste des prestataires : https://hanzo.ai/legal/subprocessors
83. Hanzo, présentation des textes juridiques : https://hanzo.ai/legal
84. Hanzo, programme d'installation : https://hanzo.sh
85. Hanzo, véritable programme d'installation : https://github.com/hanzoai/cli/blob/95b7b84c6f3525ebd30ed5d8080fb460e9593790/install.sh
86. Registre npm, paquet « hanzo », liste des comptes autorisés à publier dans le champ « maintainers » : https://registry.npmjs.org/hanzo
87. Code de la ligne de commande, partage de fenêtres de commande, lignes 40 à 47 : https://github.com/hanzoai/cli/blob/95b7b84c6f3525ebd30ed5d8080fb460e9593790/src/commands/share.rs#L40-L47
88. Hanzo, correction de la faille de partage du 11 août 2026 : https://github.com/hanzoai/cli/commit/e04db5895587cac63aca371a37b573ee064892d6
89. Ligne de commande de Hanzo, page des avis de sécurité : https://github.com/hanzoai/cli/security/advisories
90. OWASP, Prompt Injection (LLM01) : https://genai.owasp.org/llmrisk/llm01-prompt-injection/
91. Hanzo, document HIP-0001 sur la cryptomonnaie $AI : https://github.com/hanzoai/HIPs/blob/d1309820bd63a66fb94c63ff268df8901915ddd4/HIPs/hip-0001-ai-coin-hanzos-native-currency.md
92. Hanzo, ligne de commande, commande « hanzo chain » pour un nœud du réseau Lux : https://github.com/hanzoai/cli/blob/95b7b84c6f3525ebd30ed5d8080fb460e9593790/src/commands/chain.rs#L1-L9
93. Hanzo, ligne de commande, commande « hanzo wallet » : https://github.com/hanzoai/cli/blob/95b7b84c6f3525ebd30ed5d8080fb460e9593790/src/commands/wallet.rs#L1-L12
94. Lux Partners : https://lux.partners
95. Isle of Man Financial Services Authority, registre, recherche du 7 novembre 2026 : https://www.iomfsa.im/register-search/
96. Loi allemande contre la concurrence déloyale (UWG), paragraphe 7 : https://www.gesetze-im-internet.de/uwg_2004/__7.html
97. Règlement général sur la protection des données (RGPD) : https://eur-lex.europa.eu/eli/reg/2016/679/oj
98. CB Insights sur Hanzo : https://www.cbinsights.com/company/hanzo/
99. SEC, recherche en texte intégral dans les déclarations des entreprises : https://www.sec.gov/edgar/search/#/q=%22Hanzo%20AI%22
100. Hanzo, page investisseurs : https://hanzo.ai/investors
101. GitHub, guide sur l'adresse de commit privée : https://docs.github.com/en/account-and-profile/setting-up-and-managing-your-personal-account-on-github/managing-email-preferences/setting-your-commit-email-address