Une startup qui paie les developpeurs pour regarder des anonces : où est le piège ?
« Traitement en cours. » « Réflexion en cours. » « Cela pourrait prendre une minute. » Quiconque utilise un assistant de codage basé sur l’IA — ou l’IA en général — reconnaîtra ces messages. Parfois, l’attente ne dure que quelques secondes. Parfois, elle s’étend sur plusieurs minutes. Et pour les développeurs travaillant sur des tâches particulièrement complexes, des temps d’attente de 15 ou 20 minutes, voire près d’une heure, ne sont pas tout à fait exceptionnels.
Pendant ce temps, vous pouvez rester assis là à regarder le journal d’activité tandis que l’agent lit des fichiers, exécute des commandes et tente de mener à bien la tâche. Ou bien vous pouvez vous absenter et revenir plus tard pour vérifier s’il a finalement réussi. Dans tous les cas, vous voyez s’afficher encore et encore ce petit message d’état pendant que l’assistant de codage travaille. Cela retient étonnamment beaucoup votre attention. Une start-up a donc décidé d’en tirer profit.
Kickbacks.ai remplace ou complète cette petite ligne « en cours de réflexion » par une publicité. Les annonceurs paient pour les impressions, Kickbacks prélève sa part, et le développeur dont l’ordinateur a affiché la publicité reçoit le reste. À première vue, cela ressemble à une version plus équitable de l’économie des données que l’on connaît bien. Au lieu de tirer discrètement profit de vos données, l’entreprise leur attribue une valeur et vous en reverse une partie.
L'idée n'est pas tout à fait nouvelle. Evidation a proposé des points — échangeables à raison de 10 000 points contre un paiement en espèces de 10 dollars — en échange de données sur la santé et l’activité physique. Nielsen a rémunéré des personnes pour qu’elles installent un logiciel de suivi collectant des informations démographiques, comportementales et sur leurs préférences. Honeygain rémunère les utilisateurs qui partagent leur trafic Internet, tandis qu’UpVoice récompensait les utilisateurs qui autorisaient une extension à observer les publicités qui leur étaient présentées sur les principales plateformes. Kickbacks fait partie de la même famille, mais les enjeux liés à son installation pourraient être bien plus importants.
Une fois que l’on dépasse la promesse d’un partage 50/50 et que l’on commence à lire les clauses en petits caractères, cela ressemble de moins en moins à une rémunération et de plus en plus à une très maigre contrepartie pour prendre un risque considérable.
Kickbacks.ai : c'est quoi et comment ça marche
Kickbacks a vu le jour en juin 2026 sous l'impulsion du développeur Andrew McCalip. Son slogan est « Gagnez de l'argent en attendant ». Lorsque Claude Code ou Codex traite une requête, l'extension remplace ou complète le message d'attente habituel par une ligne sponsorisée.
Ce produit s'adresse clairement aux développeurs. Il fonctionne au sein de Visual Studio Code, ou VS Code — une application de bureau très populaire permettant aux développeurs d'écrire et de gérer du code — et peut également être installé dans des éditeurs basés sur VS Code, tels que Cursor et VSCodium. VS Code dispose de son propre système d’extensions, dont le concept est similaire à celui des modules complémentaires de navigateur, mais les extensions s’exécutent au sein de l’éditeur de code plutôt que dans Chrome, Firefox ou un autre navigateur. Kickbacks prend également en charge les versions en terminal de Claude Code et d’OpenAI Codex, mais avec une restriction : les publicités en terminal ne génèrent aucun revenu à elles seules. L’extension VS Code doit tout de même être installée, car c’est elle qui signale les impressions éligibles. Donc, il ne s’agit pas d’une source de revenus accessible à un utilisateur lambda de ChatGPT ou de Gemini. Une configuration de développeur est nécessaire pour que l’extension fonctionne.
Pour être rémunéré, le développeur doit être connecté, l’extension Kickbacks doit être installée et active, et la publicité doit rester visible pendant au moins cinq secondes au cours d’une véritable requête de codage lancée par le développeur. L’éditeur doit également être ouvert et ne pas être minimisé ; Kickbacks précise qu’il vérifie si l’utilisateur a fait preuve d’une activité réelle au cours des dernières minutes. Les invites automatisées, les demandes répétitives destinées à générer des publicités à outrance, ou toute activité rejetée par les systèmes anti-fraude de l’entreprise ne sont pas prises en compte.
Il existe deux modes publicitaires. Le mode « Privé » s’active automatiquement lorsque l’utilisateur se connecte. Le mode « Boosté » nécessite une acceptation distincte et utilise les informations issues des conversations de l’utilisateur pour cibler les publicités de manière plus précise.
La différence est considérable. Mais même le « Mode Privé » ne correspond probablement pas à ce que la plupart des gens attendraient d'une solution véritablement privée (à supposer qu'une véritable confidentialité soit même possible dans un système conçu pour suivre et cibler les publicités).
Le mode « Privé » est-il vraiment privé ?
Le mode Privé est privé à peu près de la même manière que le fait de remplacer votre nom par un numéro de client rend une base de données anonyme : c’est mieux que d’afficher tout en texte clair, mais cela ne vous rend pas pour autant invisible.
Kickbacks affirme que le mode privé n’envoie pas à ses partenaires publicitaires vos requêtes, les réponses générées par l’IA, le code source, le contenu des fichiers, les noms de fichiers, les chemins d’accès ou l’identité du référentiel. Cela protège la partie la plus sensible de votre travail. Mais cela reste bien en deçà de ce que la plupart des gens entendraient probablement par « privé ».
Pour diffuser une publicité en mode privé, Kickbacks indique partager les informations suivantes avec le partenaire publicitaire :
- un identifiant d’utilisateur ou de session pseudonyme ;
- une version transformée ou tronquée de l’adresse IP ;
- le système d’exploitation ;
- la version de l’agent utilisateur/de l’éditeur ;
- une localisation approximative au niveau de la ville ou de la région ;
- la confirmation des impressions et des clics.
Kickbacks, quant à lui, collecte davantage de données. Ses données télémétriques peuvent inclure : la publicité affichée, la campagne à laquelle elle appartenait, son emplacement à l’écran, le pourcentage visible de celle-ci, la durée pendant laquelle elle est restée visible, les horodatages, les versions de l’extension et de l’hôte, les identifiants de compte et d’installation, l’activité de clic, le timing des requêtes, la fréquence des requêtes, les relations entre les comptes et les appareils, ainsi que les signaux comportementaux utilisés pour la détection des fraudes. Pris isolément, la plupart de ces éléments de données peuvent sembler insignifiants. Mais, cumulés au fil du temps, ils constituent un historique comportemental persistant de la manière dont une personne utilise un assistant de codage basé sur l’IA : quand elle travaille, à quelle fréquence elle effectue des requêtes, combien de temps durent ses sessions, quel éditeur et quel système d’exploitation elle utilise, où elle se trouve approximativement, et avec quelles publicités elle interagit.
Et cet « identifiant pseudonyme » mérite davantage d’attention qu’on ne lui en accorde habituellement. Il ne contient peut-être pas votre nom, mais il attribue tout de même à votre appareil ou à votre compte une étiquette récurrente, ce qui permet aux entreprises de reconnaître qu’il s’agit de la même personne, de relier ses activités d’une session à l’autre et de continuer à ajouter de nouveaux détails au même profil.
Le NIST, l'Institut national américain des normes et des technologies, met en garde contre le fait que les identifiants pseudonymes ne garantissent pas l'anonymat des personnes. Plus les informations rassemblées autour d’un identifiant sont nombreuses — localisation, détails de l’appareil, horodatages, habitudes et schémas d’activité —, plus il devient facile de recouper ce profil avec d’autres données et d’identifier la personne qui se cache derrière. En d’autres termes, « pseudonyme » signifie « votre nom n’est pas inscrit en évidence ». Cela ne signifie pas « personne ne peut découvrir qui vous êtes ».
Kickbacks va plus loin que le simple fait d’admettre que les données sont partagées. Sa politique de confidentialité indique explicitement que, selon les lois californiennes sur la protection de la vie privée, le programme équivaut à une vente ou à un partage de données à caractère personnel. Cette formulation est peut-être là pour des raisons juridiques, mais il convient tout de même de la prendre au pied de la lettre : vos données font partie du produit vendu.
Fait inhabituel, Kickbacks leur attribue même une valeur monétaire. L’entreprise estime que les données d’un utilisateur participant valent environ 75 dollars par an pour Kickbacks, une fois les coûts de fonctionnement du programme déduits.
Mode « Boosté » : la mise à niveau catastrophique pour la vie privée
Le mode « Privé » est déjà difficile à défendre, mais le mode « Boosted » rend ce compromis presque impossible à justifier.
Lorsqu’il est activé, Kickbacks traite une partie des conversations récentes entre le développeur et son assistant IA sur ses propres serveurs. Selon sa politique de confidentialité, cela peut inclure une partie limitée des dernières requêtes et réponses de l’IA, les extensions des fichiers ouverts et un indice sur le nom du référentiel. Le système tente ensuite de supprimer les identifiants et les informations personnelles, puis réécrit ce qui reste sous la forme d’un profil d’intérêts publicitaires : langages de programmation, technologies, sujets professionnels, domaines de problèmes, région, fonction ou secteur d’activité.
La politique précise que les fichiers sources et leur contenu ne sont pas collectés directement. Cependant, du code, des journaux, des informations client, l’architecture interne, des identifiants, des détails financiers ou des éléments propriétaires peuvent déjà être présents dans une requête ou dans la réponse du modèle. Les développeurs collent régulièrement précisément ces éléments dans les assistants de codage, car c’est ainsi que l’assistant reçoit suffisamment de contexte pour résoudre un problème.
Kickbacks affirme que les contenus sensibles — clés, jetons et secrets — sont supprimés sur l’appareil avant d’être envoyés. Ses serveurs appliquent ensuite des filtres automatisés supplémentaires. Si le nettoyage échoue ou semble incertain, l’entreprise indique que les données sont censées être supprimées. Mais elle précise également, à plusieurs reprises, que ce processus est effectué au mieux et n’est pas garanti.
Vous avez sans doute déjà entendu cet avertissement. OpenAI recommande à ses utilisateurs de ne pas saisir d'informations sensibles qu'ils ne souhaiteraient pas voir examinées ou utilisées. De la même manière, Google avertit les utilisateurs de Gemini de ne pas saisir d’informations confidentielles qu’ils ne souhaiteraient pas voir consultées par un modérateur ou utilisées par Google pour améliorer ses services.
Kickbacks affirme que ses partenaires publicitaires ne reçoivent que le profil nettoyé et dérivé, et non les invites ou réponses brutes. Mais les contenus sensibles qui échappent au filtrage peuvent tout de même être traités par Kickbacks et influencer le profil avant que quiconque ne s’en aperçoive. Les conditions générales stipulent explicitement que l’entreprise ne s’engage pas à repérer ou à supprimer a posteriori les éléments non détectés.
Kickbacks peut également enrichir le profil avec des informations provenant de courtiers en données, telles que votre fonction probable ou votre secteur d’activité. Ainsi, la publicité n’est pas simplement associée à un mot comme « Python ». Elle peut s’appuyer sur une vision beaucoup plus large de votre travail, incluant les technologies que vous utilisez, les problèmes que vous résolvez, votre localisation et votre appareil, ainsi que des informations recueillies auprès de sources externes.
Les partenaires publicitaires qui reçoivent ces données sont considérés comme des responsables du traitement indépendants, et non comme de simples sous-traitants se contentant de suivre les instructions de Kickbacks. Avec Kickbacks, les utilisateurs peuvent au moins consulter sa politique de confidentialité ; une fois que les données ont été transmises, ils peuvent ne même pas savoir quelles entreprises les ont reçues, et encore moins ce que ces entreprises en font.
Le risque ne disparaît pas lorsque l’utilisateur change d’avis. Passer du mode « Boosted » au mode « Private » empêche le partage de nouvelles données de profil, mais n’efface pas automatiquement celles que les partenaires ont déjà reçues. Ce n’est pas du tout un bouton « Annuler ».
Un partage 50/50… ou pas ?
La page d’accueil de Kickbacks présente un schéma d’une simplicité séduisante : l’annonceur paie un dollar, Kickbacks touche 50 cents et le développeur en reçoit 50 cents. Elle qualifie même cet accord de « véritable partage 50/50 », promettant explicitement l’absence de calculs flous et de formulations du type « jusqu’à ».
Pourtant, la page GitHub de Kickbacks décrit l’offre différemment : les développeurs reçoivent **« jusqu’à 50 % des revenus publicitaires ». ** Ce petit « jusqu’à » contredit directement le discours de la page d’accueil.
Et les conditions générales d’utilisation introduisent encore plus de flou.
L’utilisateur ne se voit pas garantir contractuellement la moitié de chaque dollar versé par un annonceur. Les conditions décrivent la rémunération comme environ 50 % des revenus publicitaires nets après déduction des frais d’exploitation. L’expression « revenus nets » signifie que Kickbacks déduit les frais d’exploitation avant de répartir les sommes, sans expliquer clairement ce que ces frais comprennent. De plus, les développeurs ne reçoivent pas la moitié du paiement total versé par un annonceur : chacun ne perçoit que la part que Kickbacks attribue aux publicités éligibles affichées sur son propre appareil.
Il ne s’agit donc pas d’un dollar divisé en deux parties égales. Il s’agit d’une part estimée des revenus nets que Kickbacks attribue aux impressions éligibles affichées sur l’appareil d’un utilisateur, après déduction des coûts d’exploitation et sous réserve de contrôles anti-fraude, de règles d’éligibilité et de limites d’utilisation. Ces limites peuvent s’appliquer quotidiennement, mensuellement, par région, par compte, voire à des utilisateurs individuels — et Kickbacks peut les modifier sans préavis. L’entreprise peut également réviser la répartition des revenus, les taux et le calendrier de paiement par le simple biais d’une notification sur son site web ou dans l’application.
Puis vient le versement lui-même. Les utilisateurs ne peuvent pas retirer leur argent tant qu’ils n’ont pas franchi le seuil actuel de 10 dollars, qui est également susceptible de changer. Stripe Connect Express est le seul moyen de paiement disponible. Plus frappant encore, les conditions stipulent que les utilisateurs n’ont aucun droit de propriété sur les gains en attente ou accumulés tant que ces gains n’ont pas été effectivement versés. Ainsi, l’argent affiché à côté de votre compte peut donner l’impression d’être le vôtre, mais légalement, ce n’est pas le cas.
Au mieux : médiocre, au pire : un moyen de se faire licencier
L'endroit le plus dangereux pour utiliser Kickbacks est aussi celui où l'on est le plus susceptible de s'en servir : au travail.
Cette extension est conçue pour les développeurs utilisant des outils d’IA afin d’interagir avec de véritables projets logiciels. Ces projets peuvent concerner des produits non encore commercialisés, des dossiers clients, des services internes, des référentiels confidentiels, des failles de sécurité, des systèmes financiers, des identifiants d’infrastructure ou encore des informations couvertes par des contrats et des réglementations. La réponse de Kickbacks est essentiellement la suivante : assurez-vous d’en avoir l’autorisation.
La société précise également qu’elle n’est ni affiliée à Microsoft, OpenAI, Anthropic ou GitHub, ni approuvée par ces derniers. Le logiciel fonctionne en modifiant, en interceptant ou en appliquant des correctifs à des éléments d’outils de codage tiers. Kickbacks ne garantit pas que cela soit autorisé par les conditions d’utilisation de ces plateformes. L’entreprise avertit qu’un fournisseur pourrait bloquer l’extension, la rendre inopérante via une mise à jour ou prendre des mesures coercitives à l’encontre d’un compte — y compris sa suspension ou sa résiliation.
Supposons que le filtrage échoue et qu’un nom de client interne, un jeton d’accès ou un fragment d’information confidentielle parvienne aux serveurs de Kickbacks. Supposons que le fournisseur d’IA estime que la modification de son interface enfreint ses conditions d’utilisation et qu’il ferme le compte. Aucune de ces situations ne relèvera de la responsabilité de Kickbacks, conformément à ses conditions d’utilisation. Par ailleurs, la responsabilité totale de Kickbacks est plafonnée à 100 $ ou au montant versé par l’utilisateur à Kickbacks au cours des 12 derniers mois, le montant le plus élevé étant retenu. Étant donné qu’un utilisateur générant des revenus n’aura normalement rien versé à Kickbacks — le principe même étant que Kickbacks est censé le rémunérer —, le plafond pratique devrait se limiter à 100 $.
Votre emploi, vos relations avec vos clients, votre réputation professionnelle, votre compte IA et vos informations confidentielles se retrouvent donc d’un côté de la balance. De l’autre côté : une part estimée des recettes publicitaires nettes, soumise à des déductions, à des plafonds non divulgués, à un contrôle anti-fraude, à un seuil variable, à la disponibilité de Stripe et à des clauses de déchéance. Et peut-être 100 $ si la situation tourne suffisamment mal pour que Kickbacks soit lui-même légalement responsable.
Kickbacks repose sur un concept véritablement séduisant. Si les entreprises profitent de toute façon de notre attention et de nos informations, pourquoi les utilisateurs ne recevraient-ils pas une partie de cette valeur ? Mais pour qu’un échange soit équitable, les deux parties doivent comprendre ce qu’elles apportent et disposer d’un contrôle réel sur la suite des événements. Kickbacks n’offre ni la simple moitié de chaque dollar versé par les annonceurs, ni un mode de participation véritablement confidentiel.
Kickbacks contrôle les calculs, les plafonds, les règles d’éligibilité et le calendrier des paiements. Ses partenaires peuvent conserver les données déjà reçues. Le fournisseur d’IA ou d’éditeur peut décider que l’extension n’est pas la bienvenue. Le solde impayé du développeur ne lui appartient légalement qu’une fois qu’il a été crédité sur son compte.
Pour quelqu’un qui utilise un assistant de codage par IA uniquement à des fins d’expérimentation personnelle, sans projets confidentiels, sans règles imposées par un employeur, sans données de valeur et sans souci concernant le profilage comportemental, Kickbacks peut être un moyen amusant de transformer un « spinner » en argent de poche.
Pour un développeur professionnel dont le gagne-pain dépend de l’accès à ses outils, de la confiance de son employeur et de ses clients, ainsi que de la confidentialité de son travail, l’équation est différente.
Vous mettez en jeu vos données, votre compte, votre réputation et potentiellement votre emploi, tandis que l’entreprise qui promet de partager les recettes limite sa propre responsabilité à environ 100 $. Ce n’est pas Robin des Bois. C’est une très maigre récompense pour un risque très important.
