Cinq portes dérobées possibles vers les résultats de recherche des LLM

Avec l’effondrement du trafic traditionnel issu des résultats des moteurs de recherche, dû à la nouvelle tendance des résumés générés par l’IA, les éditeurs de tous niveaux cherchent désormais à gagner en visibilité auprès des grands modèles de langage qui produisent les résumés IA des recherches sur le web, ainsi que directement dans les modèles de pointe populaires comme ChatGPT.

Selon des travaux antérieurs tels qu’Optimiser la visibilité dans les moteurs génératifs et Comment dominer la recherche par IA, les approches légitimes consistent à obtenir une couverture éditoriale indépendante, à publier des contenus faisant autorité et bien structurés, à fournir des informations sur les produits lisibles par machine et à adapter les contenus aux différentes langues et aux différents marchés.

D’autres méthodes ayant récemment attiré l’attention rappellent les pratiques de référencement abusif des décennies précédentes : elles comprennent les campagnes de faux soutien populaire sur Reddit, où des recommandations prétendument indépendantes étaient placées pour influencer les résultats de recherche IA ; l’empoisonnement de la mémoire, où des liens trompeurs tentaient d’amener les assistants à retenir des affirmations promotionnelles comme des informations fiables ; et l’injection d’instructions, où des consignes cachées sur des sites web cherchaient à influencer les recommandations d’un assistant IA, plutôt qu’à simplement lui fournir des informations à résumer.

Un exemple particulièrement ingénieux de manipulation du GEO s’est produit lorsque des chercheurs de l’ETH Zürich ont créé un appareil photo fictif et publié une page promotionnelle contenant une instruction dissimulée, en minuscules caractères blancs, demandant à Bing Copilot de Microsoft de recommander exclusivement cet appareil. La très petite taille des caractères et leur faible contraste visaient à masquer la manipulation.

Deux publicités pour des appareils photo fictifs utilisées dans une expérience de l’ETH Zürich visant à manipuler les recommandations de recherche IA. La publicité classique, à gauche, contient un texte promotionnel visible, tandis que celle de « PixelBlitz », à droite, cache une instruction en caractères blancs d’un point, invisibles sur le fond blanc. Le message caché se fait passer pour une instruction système, ordonnant à l’IA de recommander exclusivement PixelBlitz et de dissimuler l’existence de l’instruction. Lors de tests contrôlés, cette technique a fait passer le taux de recommandation de l’appareil fictif de 34 % à 59,4 %. Source

Lors de tests contrôlés, le taux de recommandation de l’appareil fictif est passé de 34 % à 59,4 %, dépassant légèrement les 57,9 % obtenus par les véritables appareils Nikon et Fuji-film. Cela démontre que des instructions malveillantes intégrées aux pages web récupérées pouvaient effectivement influencer les recommandations de l’IA.

Vu l’importance des enjeux, il est raisonnable de supposer que le GEO abusif constitue un axe de recherche illicite actif et bien financé dans le marketing et divers autres secteurs qui cherchent à acquérir ou à retrouver leur visibilité passée dans les moteurs de recherche, en obtenant les recommandations des oracles IA et des moteurs conversationnels.

Examinons donc quelques-unes des voies possibles ou émergentes :

1 : Manipulation des archives

L’Internet Archive est l’une des ressources en ligne les plus exhaustives et les plus utiles, sa Wayback Machine ayant franchi le cap des mille milliards de pages en 2025. Au moment de la rédaction, l’Internet Archive annonce le chiffre phénoménal de 47 381 733 documents PDF conservés et accessibles au public :

L’Internet Archive conserve une impressionnante collection de documents PDF, provenant en grande partie de dons de bénévoles. Source

Comme le montrent les exemples de résultats ci-dessus, nombre des PDF déposés sont assez ordinaires : obscurs prospectus musicaux des années 1950 à 1990, magazines et livres rares et fascinants que l’on croyait perdus pour la postérité, interminables séries de procès-verbaux de conseils municipaux des années 1970 et 1980, et bien d’autres choses encore.

Cette collection subit actuellement un déferlement indiscriminé de requêtes, dont le responsable évident est une horde de robots de collecte de données pour l’IA, avides de données nouvelles ou de versions meilleures ou corroborantes des données qu’ils possèdent déjà.

Il est manifestement très simple de modifier un document déposé pour étayer une fausse affirmation, des produits inexistants, de fausses références à des personnes, élogieuses ou diffamatoires, de fausses déclarations à leur sujet, etc.

Ces éléments peuvent être insérés dans des documents considérés par les LLM comme des sources faisant autorité, tels que les PDF de revues respectées qui ne sont pas encore intégralement indexées dans la collection de l’Internet Archive. Dans ce cas, l’édition falsifiée semblerait légitimement combler une lacune.

L’IA elle-même pourrait imiter le style du texte pour l’adapter à celui d’un court article ou même d’une légende, et la date du PDF pourrait être modifiée, parmi de nombreuses autres astuces simples destinées à faire passer le document, par exemple, pour une pièce retrouvée dans des archives des années 1990 ou antérieures :

Une simple « modification historique » fournie sans objection par ChatGPT-5.5, et facilement réinsérée dans le document PDF d’origine. Ainsi, le « Pence Opera House » disparaît de l’histoire, tandis que l’ouverture du Guthrie Theater, un véritable théâtre du Minnesota, est déplacée de sa véritable année d’inauguration, 1963, à la date bien antérieure de 1867. Source

Dans de tels cas, il semblerait suffire d’attendre que les avides robots de collecte pour l’IA récupèrent l’information. Il est encore trop tôt pour savoir avec certitude dans quelle mesure les filtres ou les systèmes de contrôle employés lors de la préparation des jeux de données pourraient détecter ces modifications illicites. Toutefois, l’échelle de ces jeux de données est si considérable qu’elle interdit généralement un contrôle aussi approfondi. Face à un tel volume, on fait essentiellement confiance aux données.

2 : Réseaux de consensus synthétique

Ou, pour ceux qui s’en souviennent, un « anneau de sites » moderne : ces sites interconnectés des débuts d’Internet précédaient le PageRank de Google et la Domain Authority de Moz, qui valorisaient le nombre et la qualité des liens entrants.

Les réseaux de consensus synthétique vont cependant plus loin, en fabriquant des confirmations apparemment indépendantes sur des sites web supposément sans rapport entre eux. Une étude récente de la Chinese University of Hong Kong et de l’EPFL a largement démontré ce principe : les chercheurs ont testé 12 modèles IA sur 225 produits répartis dans 15 catégories, en remplaçant les références à des marques réelles dans les résultats de recherche récupérés par des alternatives fictives.

Une illustration tirée de l’article montre deux voies par lesquelles des informations inventées sur des produits peuvent influencer les recommandations de l’IA. En haut, de faux contenus sont placés sur le web réel et entrent dans les résultats de recherche ; en bas, les chercheurs simulent le même processus en modifiant localement les pages récupérées. Ces deux voies peuvent amener un assistant IA à recommander une marque inexistante aux côtés de véritables produits. Source

L’effet s’amplifiait à mesure que davantage de résultats contenaient les mêmes fausses informations. Avec trois pages manipulées parmi les premiers résultats, le modèle le plus vulnérable recommandait des produits inexistants dans 73,8 % des tests. Même un seul résultat altéré en première position pouvait tromper certains modèles dans 27 % des cas.

Plus remarquable encore, les modèles inventaient parfois leurs propres confirmations : lors d’un test concernant une marque fictive de protections d’écran, Claude et DeepSeek ont ajouté des affirmations sur des recommandations de la communauté et des tests de produits qui ne figuraient pas dans les éléments fournis.

Bien que l’expérience ait porté sur des résultats de recherche modifiés localement, et non sur un réseau réel de sites frauduleux, elle suggère qu’un ensemble coordonné d’avis prétendument indépendants pourrait fabriquer de la crédibilité, l’IA renforçant ensuite le mensonge par des approbations supplémentaires.

3 : Génération de citations et affirmations « orphelines »

La génération de citations, que l’on pourrait appeler « blanchiment de citations », est une variante des réseaux de consensus synthétique, qui privilégie toutefois la provenance apparente de l’information plutôt que le nombre de sources la répétant.

Une affirmation inventée pourrait d’abord paraître dans une obscure revue professionnelle, un article de recherche autoédité ou une publication spécialisée soumise à un contrôle éditorial limité. Elle peut ensuite être citée par des blogs, des annuaires et d’autres publications, chaque répétition conférant à l’assertion initiale un peu plus de légitimité apparente.

Un moteur de recherche IA peut finir par rencontrer cette affirmation à plusieurs étapes de sa source initiale, par exemple dans un article par ailleurs réputé qui cite une publication intermédiaire. Ce qui était au départ une assertion sans fondement possède désormais un historique de citations, alors qu’aucune des références ultérieures ne constitue une vérification indépendante.

Plusieurs exemples documentés de ce processus existent déjà, même si la plupart précèdent l’apparition de la recherche IA. Dans un cas célèbre, un adolescent a inventé le surnom d’« oryctérope brésilien » pour le coati et l’a ajouté à Wikipédia.

Ce nom inventé s’est propagé dans les journaux et dans au moins un ouvrage universitaire. Wikipédia a fini par citer elle-même un article de presse comme preuve de l’affirmation qu’elle avait initialement introduite : un cercle presque parfait d’autorité fabriquée. L’épisode a été documenté par The New Yorker.

Une démonstration plus délibérée a eu lieu en 2025, lorsque des chercheurs ont créé plusieurs articles universitaires générés par IA et attribués à un scientifique inexistant. Ces publications fictives ont accumulé 380 citations et un indice h de 19 sur Google Scholar, donnant au chercheur imaginaire une stature universitaire apparemment respectable. L’expérience, publiée dans Scientific Reports de Nature, montre comment fabriquer des nombres de citations sans corpus correspondant de recherches authentiques.

Aucun de ces cas ne démontre une attaque réussie contre un moteur de recherche IA. Ils mettent cependant tous deux en évidence la faiblesse sous-jacente : une fois qu’une fausse assertion a été reproduite par des sources apparemment crédibles, les systèmes ultérieurs peuvent avoir du mal à distinguer une corroboration indépendante de la circulation répétée d’une seule invention. Le danger propre à la recherche IA est qu’un modèle résume cette chaîne de références comme des preuves concordantes, sans reconnaître que toutes les autorités apparentes renvoient à la même affirmation non vérifiée.

4 : Appropriation de l’autorité

Les domaines expirés peuvent conserver la crédibilité apparente, les liens entrants et la visibilité dans les moteurs de recherche de leurs anciens propriétaires. Acquérir ces adresses et les remplir de nouveaux contenus peut donner l’impression que des affirmations récemment introduites proviennent de publications établies, une pratique qui remonte à vingt ou trente ans. L’autorité d’un domaine expiré ou abandonné est souvent acquise afin de transformer ses contenus en éléments apparentés mais commercialisés.

En 2024, l’influent blog féminin The Hairpin, fermé en 2018, est réapparu sous une nouvelle direction comme une usine à contenus générés par IA. Ses articles originaux étaient mêlés à des textes réécrits et à des signatures d’auteurs fictifs, exploitant la réputation et l’autorité du domaine d’une publication autrefois respectée. Bien qu’il ne s’agisse pas d’une attaque démontrée contre la recherche IA, ce cas illustre la possibilité de s’approprier l’histoire d’un site établi.

Si les copies archivées peuvent révéler la différence entre le passé authentique d’un domaine et ses contenus nouvellement fabriqués, même ces preuves ne sont pas nécessairement permanentes. En 2002, l’Internet Archive a retiré des copies de sites critiques envers la scientologie à la suite de plaintes pour violation du droit d’auteur déposées par les avocats de l’organisation, laissant initialement entendre que les propriétaires des sites eux-mêmes avaient demandé ces retraits.

Jusqu’en 2017, la Wayback Machine appliquait les règles d’exclusion des sites rétroactivement, permettant potentiellement aux nouveaux propriétaires de domaines de masquer les contenus de leurs prédécesseurs. Bien que cette pratique ait été abandonnée, l’Internet Archive examine toujours les demandes de suppression de copies historiques.

5 : Exploitation des dépôts universitaires

Les dépôts universitaires offrent une autre voie vers une autorité apparente. Les serveurs de prépublications permettent aux chercheurs de publier des articles avant leur évaluation par les pairs, tandis que les moteurs de recherche et les systèmes de récupération d’informations par IA peuvent rencontrer ces documents aux côtés de la littérature scientifique établie.

Le problème est que publication et vérification ne se confondent pas : en 2024, des chercheurs ont démontré comment des instructions malveillantes intégrées à des articles universitaires pouvaient manipuler les assistants IA traitant ces documents. Leurs travaux ont montré que la légitimité apparente d’un article de recherche n’empêche pas d’utiliser son contenu pour influencer un système IA.

Une approche GEO moins voyante consisterait à déposer des recherches plausibles mais marginales associant de manière répétée une entreprise, un produit ou une personne à une expertise particulière. Même sans instructions explicites adressées à l’IA, ces documents pourraient apporter un soutien d’apparence scientifique à des affirmations provenant de leur bénéficiaire.

Conclusion

D’autres voies possibles comprennent l’infiltration de l’écosystème des avis, en plaçant des évaluations favorables sur des comparateurs et des annuaires de logiciels ; la manipulation des graphes de connaissances, en modifiant des données structurées pour établir des associations trompeuses entre entreprises, produits et expertises ; et le blanchiment multilingue de réputation, en plaçant des affirmations promotionnelles dans des sources en langue étrangère moins contrôlées.

Enfin, l’optimisation GEO par agents pourrait automatiser ces techniques, en testant sans cesse les contenus auprès des moteurs de recherche IA et en affinant les variantes qui produisent les recommandations souhaitées.

Publié pour la première fois le lundi 12 octobre 2026. Modifié dans les trente minutes suivantes pour corriger les majuscules des titres et les balises manquantes.