La triche n’est plus un problème de communauté, c’est un poste de dépense. En 2026, les trois plus gros éditeurs compétitifs du marché font tourner un pilote signé au niveau le plus privilégié de Windows sur les machines de leurs joueurs, et deux d’entre eux refusent désormais l’accès au classé si la carte mère n’a pas Secure Boot et TPM 2.0 actifs. Le débat n’oppose plus les partisans de la vie privée aux joueurs excédés par les aimbots : il porte sur ce que l’industrie accepte de sacrifier en ouverture matérielle pour tenir une intégrité compétitive. J’ai remonté ce que Riot, Activision et Valve publient réellement, mesuré ce que ces systèmes voient de la machine, et regardé où le virage de Microsoft hors du noyau va laisser tout ce monde. Analyse à jour au août 2026.
Réponse rapide
TL;DR (à jour au 13 août 2026) : Un anti-triche kernel est un pilote qui s’exécute en ring 0, au même niveau de privilège que Windows lui-même, pour observer ce que la triche fait sous le jeu. Les chiffres publiés valident son efficacité : Riot annonce un taux de scripting en classé passé sous 1 % pour la première fois depuis près de quatre ans sur League of Legends, avec plus de 175 000 comptes bannis. La contrepartie est double : une surface d’attaque supplémentaire sur la machine, et un verrou matériel qui exclut les configurations sans TPM 2.0, les machines virtuelles et la quasi totalité de Linux. Pour un joueur qui vise le haut niveau, le sujet n’est plus optionnel : c’est un prérequis de BIOS.
La ligne de partage tient en une phrase. L’anti-triche côté serveur détecte des comportements, l’anti-triche kernel détecte des outils, et seuls les seconds attrapent une triche à matériel externe ou à pilote signé. Le sujet touche directement la crédibilité du circuit compétitif français, dont l’état des lieux complet est rassemblé dans notre guide de l’esport en France. Le reste de cet article détaille ce que chaque système regarde et ce que cela coûte.
Ce qu’un anti-triche kernel voit réellement de la machine
Un anti-triche classique tourne en mode utilisateur, dans le même espace que le jeu. Il voit les processus voisins, les bibliothèques injectées et les modifications de mémoire opérées depuis ce même niveau. C’est le modèle historique de VAC. Il a un défaut structurel : tout ce qui s’exécute à un niveau de privilège supérieur lui devient invisible.
Le noyau Windows, lui, arbitre l’accès au matériel. Un pilote chargé à ce niveau peut lire la mémoire de n’importe quel processus, intercepter les appels système, inspecter la table des pilotes chargés et vérifier l’intégrité de zones critiques. C’est précisément ce que fait la triche haut de gamme depuis une dizaine d’années : elle se place en ring 0 via un pilote vulnérable mais signé, ou plus bas encore, dans le chargeur de démarrage. Contre ce type d’attaque, un anti-triche en mode utilisateur n’a aucun angle de vue.
D’où le raisonnement des éditeurs : pour observer un adversaire situé au niveau du noyau, il faut être au niveau du noyau. Vanguard, chez Riot, va plus loin en chargeant son pilote au démarrage de la machine, avant le jeu et avant la plupart des logiciels tiers, afin de constater l’état du système à un moment où la triche n’a pas encore eu l’occasion de s’installer. Ricochet, chez Activision, combine un pilote kernel côté client et une analyse serveur, avec une mitigation en direct plutôt qu’un simple bannissement différé.
Ce que ces pilotes collectent reste borné par les éditeurs : listes de processus et de pilotes chargés, signatures mémoire, tentatives d’injection, intégrité de certaines structures noyau. Ce qu’ils peuvent techniquement collecter est sans limite, puisque le privilège l’est. Cette asymétrie entre le périmètre annoncé et la capacité réelle est le cœur du malaise, et aucune démonstration technique ne le dissipe. Seule une politique publiée et vérifiable le fait.
Vanguard, Ricochet, VAC, EAC, BattlEye : qui fait quoi
Les cinq systèmes que croise un joueur français en 2026 ne jouent pas dans la même catégorie, ni sur le même terrain.
| Système | Éditeur | Niveau | Chargement | Jeux concernés | Prérequis matériel |
|---|---|---|---|---|---|
| Vanguard | Riot Games | Kernel (ring 0) | Au démarrage de Windows | Valorant, League of Legends, Teamfight Tactics | TPM 2.0 et Secure Boot sur Windows 11 |
| Ricochet | Activision | Kernel + serveur | Au lancement du jeu | Black Ops 7, Warzone | TPM 2.0 et Secure Boot pour le classé |
| VAC | Valve | Mode utilisateur + serveur | Au lancement du jeu | Counter-Strike 2, Dota 2, TF2 | Aucun |
| Easy Anti-Cheat | Epic Games | Kernel | Au lancement du jeu | Fortnite, Apex, Rust, Elden Ring | Variable selon l’éditeur |
| BattlEye | BattlEye | Kernel | Au lancement du jeu | PUBG, Rainbow Six Siege, DayZ, Arma | Variable selon l’éditeur |
Trois différences comptent vraiment. La première est le moment du chargement. Vanguard démarre avec le système, les autres démarrent avec le jeu, ce qui laisse une fenêtre à une triche installée entre les deux. C’est la raison technique de l’agressivité de Riot, et aussi la raison pour laquelle Vanguard reste résident tant que Windows tourne.
La deuxième est la boucle de réaction. VAC bannit par vagues, souvent des semaines après la détection, pour éviter de renseigner les développeurs de triche sur ce qui a été repéré. Ricochet mise à l’inverse sur la mitigation immédiate en partie, avec des contre-mesures qui neutralisent le tricheur sans le prévenir qu’il est détecté. Les deux logiques se défendent, mais elles produisent une expérience de jeu radicalement différente pour la victime : la vague protège l’algorithme, la mitigation protège la partie en cours.
La troisième est la portabilité. Easy Anti-Cheat et BattlEye disposent d’un support Proton que l’éditeur du jeu doit activer explicitement, ce qui explique qu’un même anti-triche autorise un titre sur Steam Deck et en bloque un autre. Vanguard et Ricochet, qui s’appuient sur des mécanismes propres à Windows, ne laissent aucune ouverture. Pour qui joue sur une machine portable, ce détail conditionne la bibliothèque entière, un point que j’aborde aussi dans le comparatif Steam Deck OLED contre ROG Ally X.
TPM 2.0 et Secure Boot : le verrou matériel devenu standard
Le tournant de 2025 et 2026 n’est pas le passage au kernel, acquis depuis longtemps, mais l’exigence d’une racine de confiance matérielle.
Le principe se comprend en deux temps. Secure Boot vérifie la signature cryptographique de chaque composant chargé au démarrage, du firmware jusqu’au noyau. Un bootkit, c’est à dire une triche qui s’installe avant Windows, échoue à passer cette vérification. Le TPM 2.0, lui, est une puce ou un module firmware qui détient des clés inaccessibles depuis le système et fournit une empreinte matérielle stable. Cette empreinte permet un bannissement lié à la machine et non au compte, qui survit à une réinstallation complète.
Riot en a fait un prérequis dur sur Windows 11, et le documente code par code dans sa page de dépannage des erreurs VAN 9001, VAN 9003 et VAN 9090. Le 9001 signale un Secure Boot absent ou désactivé, le 9003 un TPM 2.0 non détecté, le 9090 un module TPM présent mais mal initialisé. Ces trois messages représentent l’écrasante majorité des blocages au lancement rencontrés par les joueurs qui ont monté leur machine eux mêmes, parce qu’un BIOS sorti d’usine laisse fréquemment ces options désactivées ou la machine installée en mode legacy.
Activision a franchi le même pas plus récemment, et de façon plus brutale sur le plan du matchmaking. Dans son point d’étape Ricochet de la saison 04, publié en juin 2026, Team RICOCHET indique s’appuyer sur l’attestation à distance de Microsoft Azure pour vérifier les réglages de sécurité directement auprès des serveurs de Microsoft, et non par une vérification locale falsifiable. Les machines qui échouent à cette attestation ne sont pas bannies : elles sont reléguées dans une file de matchmaking séparée, limitée à Nuketown 24/7 sur Black Ops 7 et au Battle Royale Casual sur Warzone, sans possibilité de croiser des joueurs conformes ni des joueurs console. La sanction n’est plus une exclusion, c’est une relégation.
Concrètement, activer ces deux options se fait dans le firmware de la carte mère, en général sous les intitulés Secure Boot et PTT pour Intel ou fTPM pour AMD. Le piège classique est le passage d’un disque installé en MBR vers le GPT exigé par l’UEFI, une opération à faire proprement sous peine de démarrage impossible. Les chipsets récents activent l’ensemble par défaut, comme détaillé dans mon guide des cartes mères gaming 2026.
Ce que les chiffres publiés démontrent vraiment
Le débat sur l’anti-triche kernel souffre d’un déficit de données. Deux éditeurs ont publié des mesures assez précises pour être discutées.
Riot a livré le bilan le plus détaillé du marché dans sa rétrospective sur le déploiement de Vanguard côté League of Legends. Quatre indicateurs y figurent. Le taux de parties classées touchées par un script est passé sous la barre de 1 % pour la première fois depuis près de quatre ans, soit environ une partie sur 200. Plus de 175 000 comptes ont été bannis pour triche depuis la mise en service. Le délai d’action, mesuré en nombre de parties qu’un tricheur peut disputer avant sanction, est tombé de plus de 45 parties à moins de 10. Enfin, le taux de faux positifs réels est annoncé sous 0,01 %, soit moins d’un cas sur 10 000 bannissements, avec une suspension moyenne inférieure à 72 heures pour les comptes concernés.
Ces quatre chiffres racontent la même histoire : le gain principal de l’anti-triche kernel n’est pas la détection, il est le délai. Un tricheur détecté en moins de 10 parties abîme 10 parties, contre 45 auparavant. Sur un jeu qui compte des millions de matchs quotidiens, le rapport de un à quatre et demi sur ce délai pèse davantage que le volume brut de bannissements.
Activision apporte un autre type de mesure, comportementale celle là. Toujours dans son point d’étape de la saison 04, Team RICOCHET indique que près de deux tiers des joueurs sanctionnés temporairement pour usage de périphériques à script non autorisés, du type Cronus Zen ou XIM Matrix, reviennent ensuite jouer sans ces accessoires. La donnée est intéressante parce qu’elle valide une approche graduée : l’avertissement puis la sanction temporaire suffisent à corriger la majorité des cas, ce qui distingue nettement le tricheur opportuniste du fraudeur organisé.
Valve reste, à l’inverse, d’une opacité assumée. L’éditeur ne publie aucun rapport chiffré sur ses vagues de bannissement, et sa documentation officielle sur VAC se limite à rappeler que les sanctions sont permanentes et non négociables. Tous les décomptes qui circulent sur Counter-Strike 2 proviennent de traqueurs communautaires qui n’observent qu’une fraction des profils, et méritent donc d’être manipulés avec prudence. Cette différence de transparence est en soi une information sur la maturité comparée des dispositifs, un point qui revient régulièrement dans l’analyse du circuit CS2 français.
Les risques réels, hiérarchisés
Trois critiques reviennent en boucle. Elles n’ont pas le même poids.
La première est la vie privée. Elle est la plus citée et la moins étayée. Aucun cas documenté d’exfiltration de données personnelles par Vanguard, Ricochet, Easy Anti-Cheat ou BattlEye n’a été établi, et les éditeurs publient le périmètre de leur collecte. Le problème n’est pas ce qui est fait, il est ce qui pourrait l’être sans que personne ne s’en aperçoive, faute d’audit indépendant. C’est une question de gouvernance, pas de preuve technique.
La deuxième est la surface d’attaque, et c’est la vraie. Un pilote kernel signé et présent sur des dizaines de millions de machines constitue une cible de choix. Une vulnérabilité dans ce pilote offre à un attaquant un accès au noyau sur un parc immense, avec un composant que l’antivirus considère comme légitime. Cette classe d’attaque, dite du pilote vulnérable signé, est précisément celle que la triche exploite déjà pour entrer en ring 0. L’anti-triche et la triche partagent donc le même vecteur.
La troisième est la compatibilité, et c’est celle qui touche le plus de monde au quotidien. Un logiciel de contrôle de ventilateurs, un utilitaire d’overclocking, une capture d’écran matérielle ou une machine virtuelle suffisent à provoquer un refus de lancement. Chaque incompatibilité se règle, mais elle se règle en cherchant un code d’erreur au moment où l’envie était de jouer. Sur ce point, le confort d’usage a nettement reculé depuis cinq ans.
Un quatrième effet, plus discret, mérite d’être signalé : le verrou matériel exclut le parc ancien. Une machine sans module TPM, une carte mère d’avant 2016 ou une installation Windows en mode legacy sortent du classé. Pour un joueur qui découvre l’esport avec une configuration d’occasion, la barrière d’entrée n’est plus seulement financière, elle est cryptographique. Ce sujet croise directement les questions d’accès au haut niveau abordées dans mon guide pour devenir joueur pro esport en France, et il pèse sur le vivier amateur dont dépendent les structures de la LFL et de son écosystème.
Le virage hors kernel de Microsoft change la donne
Une bascule structurelle est en cours, et elle ne vient pas de l’industrie du jeu.
Après la panne mondiale provoquée en juillet 2024 par une mise à jour CrowdStrike sur des millions de machines Windows, Microsoft a lancé sa Windows Resiliency Initiative. Le volet le plus lourd de conséquences pour le jeu figure dans l’annonce de la plateforme de sécurité pour points de terminaison sur le blog Windows Experience : Microsoft a livré une préversion privée à ses partenaires, avec de nouvelles capacités permettant à leurs solutions de s’exécuter en dehors du noyau Windows, en mode utilisateur comme une application ordinaire.
L’objectif visé est la sécurité d’entreprise, pas l’anti-triche. Mais si l’accès au noyau se restreint durablement, les éditeurs d’anti-triche perdent leur principal avantage d’observation. Deux compensations se dessinent déjà, et les deux sont visibles dans les décisions de 2026. La première est le déplacement de la confiance vers le matériel, avec l’attestation à distance validée par un serveur tiers plutôt que par le client, exactement le modèle retenu par Ricochet. La seconde est le renforcement de l’analyse serveur, où la détection porte sur des schémas de comportement statistiquement impossibles plutôt que sur la présence d’un outil.
Le calendrier reste long et rien n’annonce une bascule brutale sur les jeux existants. Mais la direction est claire : le futur de l’anti-triche ressemble davantage à une chaîne de confiance matérielle plus une intelligence côté serveur qu’à une course à l’armement dans le noyau. Pour le joueur, cela veut dire des prérequis BIOS de plus en plus stricts et des pilotes résidents un peu moins invasifs, pas l’inverse.
Le verdict
Pour un joueur compétitif sur Valorant, Call of Duty ou tout titre de tir tactique, la question ne se pose plus : l’anti-triche kernel est le prix d’entrée, et les chiffres publiés par Riot justifient ce prix. Une partie classée sur 200 touchée par un script, contre une sur quinze au niveau mondial avant Vanguard selon les mesures publiées par Riot, c’est un ordre de grandeur, pas un ajustement. Activer Secure Boot et le fTPM dans le BIOS relève d’une manipulation de cinq minutes, à faire avant même d’installer le jeu.
Pour un joueur qui privilégie le contrôle de sa machine, la décision est inverse et parfaitement défendable. Refuser un pilote résident en ring 0 signifie renoncer à Valorant, à League of Legends et au classé Call of Duty, mais laisse Counter-Strike 2, Dota 2 et une large part du catalogue accessibles. VAC en mode utilisateur reste moins efficace, personne ne prétend le contraire, et l’écosystème tiers de type ligue privée avec client dédié compense partiellement cet écart pour qui accepte une couche logicielle supplémentaire.
Pour un joueur sur Linux ou Steam Deck, le verdict est brutal. Easy Anti-Cheat et BattlEye ouvrent la porte quand l’éditeur du jeu le décide, Vanguard et Ricochet la ferment sans recours. Aucun contournement propre n’existe et aucun n’est à espérer à court terme.
Reste une recommandation valable pour tout le monde. Un pilote kernel installé mérite d’être traité comme un composant système, donc maintenu à jour et désinstallé quand le jeu ne sert plus. Vanguard se retire proprement depuis le panneau de configuration Windows, Ricochet part avec le jeu, Easy Anti-Cheat laisse en revanche fréquemment des résidus après une désinstallation rapide. Un parc de six anti-triche kernel accumulés sur trois ans, c’est six pilotes privilégiés qui tournent pour des jeux abandonnés depuis longtemps. Le vrai risque de sécurité est là, dans l’oubli, pas dans le jeu auquel on joue tous les soirs.
Questions fréquentes
Un anti-triche kernel espionne-t-il tout le PC ?
Techniquement, un pilote en ring 0 a le même niveau de privilège que le noyau Windows, donc l’accès est en effet total. Dans les faits, les éditeurs limitent la collecte aux processus, pilotes et zones mémoire susceptibles de manipuler le jeu, et publient le périmètre de leurs vérifications. Le risque réel n’est pas l’espionnage marketing, il est la surface d’attaque : un pilote signé et vulnérable devient une porte d’entrée pour un logiciel malveillant.
Pourquoi Valorant et Call of Duty exigent TPM 2.0 et Secure Boot ?
Parce que la triche moderne s’installe sous le système, dans le chargeur de démarrage ou dans un pilote chargé avant l’anti-triche. Secure Boot vérifie la signature de tout ce qui démarre, ce qui bloque un bootkit. Le TPM 2.0 fournit une identité matérielle difficile à falsifier, donc un bannissement qui survit à une réinstallation de Windows. Sans ces deux briques, l’anti-triche ne peut pas garantir que son propre pilote n’a pas été contourné avant son chargement.
Un bannissement VAC est-il définitif ?
Oui. Valve indique que les bannissements VAC sont permanents et non négociables, et que le support n’en lève aucun. Le compte reste utilisable pour les jeux non protégés, mais il perd l’accès aux serveurs sécurisés du titre concerné, ne peut plus échanger les objets liés, et le statut reste visible sur le profil public. C’est la sanction la plus lourde du marché sur le plan patrimonial, puisqu’un inventaire de plusieurs centaines d’euros devient inéchangeable.
Les anti-triche kernel fonctionnent-ils sur Linux et Steam Deck ?
Rarement. Easy Anti-Cheat et BattlEye disposent d’un support Proton que l’éditeur du jeu doit activer explicitement, ce qui fonctionne pour de nombreux titres. Vanguard et Ricochet dépendent de mécanismes propres à Windows, attestation à distance comprise, et restent hors de portée. Viser Valorant ou le classé Call of Duty sur Steam Deck revient à se heurter à un mur, pas à un réglage.
Un faux positif peut-il bannir un joueur innocent ?
Cela arrive, mais les ordres de grandeur publiés sont faibles. Riot annonce un taux de faux positifs inférieur à 0,01 % sur ses bannissements Vanguard côté League of Legends, soit moins d’un cas sur 10 000, avec une suspension moyenne de moins de 72 heures pour les comptes concernés. Le vrai risque quotidien reste l’incompatibilité : un pilote de ventirad, un logiciel d’overclocking ou une machine virtuelle qui déclenchent un blocage au lancement.
Le virage hors kernel de Microsoft va-t-il tuer les anti-triche actuels ?
Il va les forcer à se réécrire, pas à disparaître. Microsoft a livré une préversion privée de sa plateforme de sécurité pour points de terminaison à ses partenaires, avec l’objectif de faire tourner ces solutions en mode utilisateur plutôt que dans le noyau. Les éditeurs d’anti-triche devront compenser la perte de visibilité par davantage d’attestation matérielle et d’analyse serveur. Le calendrier reste long et rien n’indique une bascule brutale sur les jeux existants.