Manipuler les IA, est-ce possible ?

Le 26 août 2026, The Guardian a révélé l'existence du Hanover Institute for Public Policy, présenté comme un institut de recherche américain indépendant. En neuf jours, entre le 6 et le 14 août, ce site a publié 124 rapports totalisant plus d'un demi-million de mots sur Israël, Gaza et l'antisémitisme. Aucune existence légale retrouvée, aucune adresse, aucune équipe, aucun auteur signataire.

Je n'ai pas pu consulter l'enquête originale directement, mais elle a été largement recoupée, notamment par Arab News, TRT World et Responsible Statecraft. Ce qui m'intéresse ici n'est pas le conflit qu'elle documente, c'est la cible affichée de l'opération : non pas des lecteurs humains, mais des chatbots.

Le cas a produit le titre attendu, « on peut manipuler les IA ». La formule est trop large pour être utile. Il y a au moins quatre mécanismes derrière ce mot, avec des surfaces d'attaque et des niveaux d'accès très différents.

1. Inonder le contenu que l'IA va lire

C'est ce qu'a fait le Hanover Institute, et c'est de loin le mécanisme le plus accessible.

Le principe ne touche jamais au modèle. Il consiste à produire assez de contenu, assez bien formaté, pour qu'il soit indexé, retrouvé, puis versé dans le contexte d'une réponse générative comme s'il s'agissait d'une source neutre. Les signaux relevés par les journalistes sont éloquents : presque tous les titres de rapports prennent la forme d'une question qu'un utilisateur taperait dans un chatbot, et le site expose un fichier llms.txt destiné à faciliter l'ingestion par les modèles.

Sur le financement, il faut être précis, parce que les chiffres circulent mal. Les 15 millions de dollars versés par Havas à Clock Tower X et les 9,9 millions à Targeted Communications Global proviennent d'enregistrements américains au titre du Foreign Agents Registration Act : ce sont des totaux de campagne couvrant cinq sociétés, pas le budget du faux institut. Le chiffre qui lui est propre est plus modeste, 900 000 dollars versés à Piro Inc, la société qui l'a construit. Un contrat de Clock Tower X mentionnait explicitement l'objectif d'obtenir des « GPT framing results » favorables.

L'ordre de grandeur mérite d'être retenu : quelques centaines de milliers de dollars et neuf jours pour tenter d'orienter la couche de récupération de quatre assistants grand public.

2. L'injection de prompt, pendant que l'IA lit

Ici on ne manipule plus ce que l'IA trouve, on manipule l'IA au moment où elle traite un document.

Le cas de référence est EchoLeak, CVE-2025-32711, une faille d'injection indirecte dans Microsoft 365 Copilot divulguée en juin 2025 et corrigée côté serveur avant sa divulgation publique. Elle permettait l'exfiltration de données d'entreprise sans aucune action de l'utilisateur : un email d'apparence anodine, lu par l'assistant, suffisait. L'analyse technique publiée ensuite décrit un enchaînement de contournements, dont celui du classificateur XPIA que Microsoft avait précisément déployé contre ce type d'attaque.

C'est le détail le plus instructif : la contre-mesure existait, et elle a été contournée. L'OWASP place d'ailleurs l'injection de prompt en tête de son Top 10 des risques des applications à base de LLM, sous la référence LLM01. Aucune exploitation réelle d'EchoLeak n'a été confirmée à ce jour.

3. Le jailbreak, contourner les garde-fous

Le jailbreak ne touche ni aux sources ni aux données d'entraînement, seulement à la formulation. Il s'agit d'amener un modèle à produire ce que ses garde-fous devraient refuser.

La technique la plus élégante conceptuellement est Crescendo, décrite en 2024 et présentée à USENIX Security 2025 : la conversation démarre sur un terrain bénin, puis dérive par petits pas, chaque réponse du modèle servant d'appui à la demande suivante, jusqu'à un contenu qu'un prompt direct aurait fait refuser. Les auteurs rapportaient des taux de réussite élevés sur GPT-4, Gemini Pro et Llama, mais ce sont des résultats de benchmark de 2024, pas l'état actuel : les modèles ont été corrigés depuis.

Un point souvent perdu : un jailbreak affecte la session de celui qui le pratique, pas ce que le modèle répond aux autres utilisateurs.

4. L'empoisonnement des données d'entraînement

C'est le mécanisme dont la réputation est la plus inquiétante et les cas réels les plus rares.

Une étude conjointe d'Anthropic, du UK AI Security Institute et de l'Alan Turing Institute a mesuré combien de documents malveillants il fallait glisser dans un corpus de pré-entraînement pour y installer une porte dérobée. Résultat contre-intuitif : environ 250 documents suffisent, soit 0,00016 % des tokens, et ce nombre reste à peu près constant quelle que soit la taille du modèle, de 600 millions à 13 milliards de paramètres.

Cela ne veut pas dire que l'attaque est facile, et les auteurs sont explicites : le comportement installé était étroit, produire du texte aléatoire après un déclencheur, et ils précisent qu'un tel effet est peu susceptible de représenter un risque sérieux sur un modèle frontière.

Ce qui a changé n'est donc pas la difficulté globale, c'est l'endroit où elle se situe. La barrière quantitative s'est effondrée, la barrière d'accès tient toujours : il faut faire entrer ces documents dans un corpus curé, et que la porte dérobée survive aux phases d'alignement postérieures. À ma connaissance, aucun empoisonnement réussi d'un modèle frontière en production n'est publiquement documenté.

La frontière avec le GEO que je pratique

Autant être honnête : ce que le Hanover Institute a tenté est un détournement d'une pratique que j'exerce pour mes clients. Rendre un contenu citable par les moteurs génératifs, c'est du GEO, une discipline distincte du SEO classique, et la mécanique n'est pas différente. La différence tient à trois critères vérifiables.

L'identité. Un client réel, une entité juridique existante, des auteurs signataires. Le faux institut échoue sur les trois.

Le volume rapporté à la capacité éditoriale. Un demi-million de mots en neuf jours ne correspond à aucune rédaction humaine plausible. C'est exactement le signal que vise la politique de Google sur l'abus de contenu à grande échelle, dont j'ai détaillé ailleurs pourquoi elle ne pénalise pas l'IA mais l'échelle.

La transparence du financement. Un contenu commandité qui dit qui le finance reste du contenu commandité. Un contenu qui dissimule un financement étatique derrière une façade académique est une opération d'influence.

Aucun de ces critères n'est technique, et c'est pour cela qu'aucun filtre automatique ne les tranchera à ma place. SynthID, souvent cité comme réponse, ne marque que les contenus produits par les outils d'IA de Google : il n'aurait rien détecté ici.

Ce que je retiens

La réponse se donne en strates, pas en oui ou non. Inonder la couche de récupération est faisable, documenté et peu coûteux. Détourner un assistant pendant qu'il lit un document est démontré en conditions réelles, corrigé au cas par cas, et structurellement non résolu. Contourner les garde-fous reste confiné à la session de l'attaquant. Empoisonner le corpus d'un modèle frontière est, en l'état des publications, un résultat de laboratoire.

Confondre ces quatre niveaux mène à deux erreurs symétriques : la panique sur des modèles prétendus piratables, et l'aveuglement sur ce qui se passe réellement, une lutte d'occupation du terrain informationnel qui ressemble beaucoup plus au SEO qu'à du piratage.

Sources : The Guardian, 26/08/2026 · Arab News · Responsible Statecraft · EchoLeak, CVE-2025-32711 (arXiv) · Crescendo, USENIX Security 2025 (arXiv) · Anthropic, UK AISI et Alan Turing Institute · Google, politiques anti-spam