Le Canari Qui Révèle Le Trafic IA

Dans une nouvelle étude, des chercheurs ont caché des phrases uniques sur des sites Web et ont attrapé des chatbots IA en train de les répéter, exposant des pipelines de scraping cachés et, apparemment, des pratiques trompeuses de certaines des plus grandes entreprises IA.

Les entreprises IA luttent pour obtenir un avantage dans une course qui est prévue pour être brutale et réductrice; par conséquent, elles veulent vraiment, vraiment scraper vos sites Web pour les données de formation à nourrir leurs modèles IA. Parfois constamment; souvent en violation de vos souhaits exprimés; et fréquemment sous l’apparence de lecteurs humains occasionnels, ou bien en tant que bots « plus sympathiques » tels que GoogleBot, plutôt que de révéler leur véritable identité en tant que scrapeurs de données IA.

Il est actuellement estimé que les scrapeurs de données IA automatisés conçus pour aspirer de nouvelles données de formation et pour répondre aux demandes immédiates des utilisateurs via RAG dépasseront les humains dans un an.

Cette frénésie de collecte de données est en partie due au besoin pour chaque entité IA d’avoir sa propre copie actuelle d’Internet, plutôt que des référentiels de plus en plus obsolètes tels que Common Crawl; et, peut-être, parce que les entreprises craignent l’arrivée de restrictions légales et ont besoin de procéder au lavage d’IP le plus tôt possible.

En outre, en interrogeant constamment autant de sites que possible, les entreprises IA peuvent espérer améliorer leur capacité actuelle à répondre de manière informative et précise aux situations émergentes et en cours.

Quoi qu’il en soit, il semble y avoir un certain mérite à l’idée que ces pratiques ont été hors de contrôle et ingouvernables depuis un certain temps.

Le problème est qu’il n’est pas si facile de prouver jusqu’où les entreprises IA vont pour étancher leur soif de données.

Suivre les Données

Une suggestion, proposée dans un nouveau document de recherche aux États-Unis, propose une variante d’une méthode ancienne de découverte d’espions, d’informateurs et d’autres prétendus malveillants: les exposer à des informations personnalisées que personne d’autre ne connaît, et voir si et où ces informations apparaissent. Si personne d’autre ne connaissait ces informations, alors la source de la fuite est prouvée:

L’idée de base des chercheurs, présentée dans le nouveau document, est de donner à chaque bot visiteur une version légèrement différente de la même page, puis de demander aux chatbots des informations sur cette page et de voir quelle version revient, ce qui permet de retracer quelles recherches Web cachées ont fourni la réponse. Source

Cette approche populaire est peut-être la mieux connue à travers les mesures anti-piratage adoptées par le comité des Oscars dans les années 2000, dans lesquelles les DVD de prévisualisation distribués aux membres votants ont commencé à être numériquement marqués d’identifiants uniques qui pourraient être réattribués au destinataire d’origine si le film en question était jamais divulgué sur Internet. Dans l’espionnage, la technique est connue sous le nom de repas de baryum, après la pratique d’utiliser un liquide d’isotope radioactif pour éclairer les vaisseaux sanguins dans un scan médical et identifier les obstructions.

(Ironiquement, la métaphore du « canari » choisie n’est pas très appropriée pour le scénario abordé dans le document, bien qu’elle soit plus reconnaissable que les autres tropes)

Dans le cas de la nouvelle recherche, les auteurs ont créé vingt domaines Web « pièges à miel » et ont servi des jetons uniques à chaque visiteur unique, de sorte que chacun recevrait des faits différents (voir deuxième colonne à partir de la gauche dans l’image ci-dessus).

L’objectif était de révéler la véritable identité et le comportement des scrapeurs de données IA (LLM). Sur 22 systèmes LLM de production, la technique a pu identifier de manière fiable quels scrapeurs alimentaient quels LLM, puisque – avec un peu de patience après avoir « planté » les signifiants de données uniques – il suffisait de poser les bonnes questions à l’IA un mois ou deux plus tard pour obtenir les jetons uniques.

Jeux Malveillants

Bien sûr, rien de tout cela ne serait nécessaire si nous n’étions pas encore dans la phase « Far West » de l’IA V3, et si les entreprises respectaient réellement les petits fichiers texte que les domaines peuvent utiliser pour dire aux entreprises IA de ne pas scraper leurs données.

Comme il s’est avéré dans les tests des chercheurs, seule une entreprise IA semblait respecter son propre comportement déclaré et ses principes: le DuckDuckbot de DuckDuckGo était l’unique agent à se présenter avec précision et à cesser de signaler les « données secrètes » dès que le domaine cible était désactivé (les autres entreprises IA ont recours à des versions mises en cache et à d’autres astuces) ou que le fichier robots.txt du domaine était modifié pour refuser le scraping IA.

Beaucoup des plus grands acteurs ont plutôt usurpé des identifiants d’agent utilisateur génériques (les mêmes que ceux que verrait un site Web si vous ou moi le visitiez), et – conformément à la pratique de Perplexity en 2025 – ont usurpé l’identité de GoogleBot, qui a longtemps bénéficié d’un « passeport d’or » pour accéder aux données des sites Web parce qu’il retournait (notez le temps passé, car cela change) du trafic en échange de données.

Le pire contrevenant, selon le document, était le scrapeur qui alimentait l’écosystème Kimi AI:

‘Kimi semble être le cas le plus extrême de ce comportement: de nombreux agents utilisateur semblent être corrélés avec les données produites par Kimi. Nous déduisons que Kimi fait pivoter une grande liste de chaînes d’agent utilisateur lors du scraping, possiblement pour éviter la détection des bots.’

Ce qui rend ce problème un défi majeur, c’est que lorsque ChatGPT ou des outils similaires « recherchent quelque chose », ce processus est en grande partie invisible, avec des entreprises qui n’offrent que des comptes rendus partiels ou auto-déclarés de la façon dont leurs systèmes collectent des informations en temps réel. Cela laisse les propriétaires de sites sans moyen clair de savoir quels bots visitent réellement leurs pages, si ces visites sont directes ou routées via les moteurs de recherche, ou comment ces données se retrouvent dans une réponse finale.

Les résultats de la nouvelle étude indiquent que les LLM peuvent utiliser leurs propres entrées mises en cache à partir d’un domaine, leurs propres listes de style SEO internes, et qu’ils utilisent fréquemment des informations provenant des résultats de recherche de sociétés avec lesquelles, dans de nombreux cas, ils n’ont aucune association publique et aucun accord d’utilisation apparent.

Les auteurs estiment que cette dénonciation est la première fois qu’un travail aborde l’intrusion non désirée par des systèmes RAG (appels en temps réel à partir de LLM qui peuvent ou non avoir un utilisateur humain qui les fait fonctionner), plutôt que des bots de scraping de données à la recherche de matériel frais pour les ensembles de données de formation.

Le nouveau document est intitulé Identification des scrapeurs Web IA à l’aide de jetons de canari, et provient de six chercheurs issus de l’Université Duke, de l’Université de Pittsburgh et de l’Université Carnegie Mellon.

Méthode

Les chercheurs ont mis en place vingt domaines.com avec des sites Web globalement similaires sous des modèles courants, tels qu’un portfolio artistique ou un site Web d’entreprise. Chaque modèle contenait 10 espaces réservés qui seraient éventuellement remplis de jetons uniques pour le profil perçu de chaque visiteur (en fonction de facteurs tels que l’adresse IP, l’empreinte de canvas et diverses autres méthodes de « sniffing »):

Un exemple du modèle et des espaces réservés utilisés dans l’expérience. Chaque visiteur unique perçu recevait des variables personnalisées et individualisées.

Chaque visiteur unique perçu recevait des variables personnalisées. Dans le cas où le système détectait le retour d’un visiteur précédent, les mêmes variables que précédemment étaient réaffichées. Les variables étaient générées à l’aide de la bibliothèque Python Faker, ainsi que (non spécifiés) des générateurs de nombres aléatoires.

Les domaines « pièges à miel » ont ensuite été soumis à divers index tels que Google et Bing, et ont également été liés à partir d’autres domaines préexistants que les auteurs contrôlaient.

Deux mois ont été laissés passer, comme un intervalle requis pour permettre une fréquence de balayage à partir d’une large gamme de bots de recherche et similaires, ainsi que (possiblement) des visites organiques. À ce stade, les chercheurs étaient désormais en mesure d’interroger les chatbots IA ciblés (répertoriés ci-dessous):

Des scripts ont été créés pour interroger chaque système, via API, lorsque cela était possible. Lorsque cela n’était pas possible, et lorsque des solutions automatisées telles que Selenium étaient bloquées par les routines de détection du portail IA, des interactions manuelles via les GUI officiels des LLM ont été effectuées.

Après l’échange initial modélisé (voir image ci-dessus), les auteurs ont suivi avec une invite secondaire conçue pour éliciter le nom d’une entreprise ou d’une personne dans un jeton associé.

Les expériences ont été menées dans l’une des trois conditions: un site Web entièrement accessible; le site Web hors ligne; et le site Web avec une restriction robots.txt repoussant le scraping. Ces expériences ont été menées dans cet ordre exact, les unes après les autres, puisque les dernières étapes dépendaient des précédentes.

Enfin, avec tous les sites remis en ligne, la dernière étape a rétesté la sortie LLM à intervalles d’une semaine.

Résultats

Quatre des LLM ciblés se sont avérés totally résistants aux méthodes des chercheurs, et aucun résultat n’a donc pu être obtenu pour DeepSeek, Hunyuan, GLM, et Liquid.

En ce qui concerne la tendance de nombreux bots IA à usurper le trafic non IA, les auteurs déclarent:

‘En plus des agents déclarés de première partie, plusieurs systèmes IA ont retourné du contenu associé à des chaînes d’agent utilisateur génériques. Nous avons observé ce comportement pour six des 18 systèmes IA pour lesquels nous avons obtenu des informations sur l’agent utilisateur.

‘Ce résultat suggère que certains systèmes IA peuvent obtenir du contenu de site Web grâce à des requêtes qui semblent similaires au trafic de navigateur ordinaire, ce qui rend difficile le blocage basé sur l’agent utilisateur.’

ERNIE a retourné à la fois Baiduspider et une identité Chrome; Grok a combiné Googlebot avec deux agents de navigateur; Solar a utilisé uniquement des identités de navigateur; Qwen a mélangé Googlebot avec Chrome; et Kimi a été lié à plusieurs agents de style de navigateur.

De nombreux systèmes ont semblé s’appuyer sur des scrapeurs de recherche de tiers, dans des relations pas toujours divulguées. Le contenu lié à Googlebot, Bingbot et Bravebot a été retourné par dix des 18 systèmes analysés, souvent dans des cas où il n’existe pas d’association publique entre le fournisseur IA et le moteur de recherche – bien que certaines liens, tels que l’utilisation de Brave par Claude, soient documentés.

Les auteurs soutiennent que cela reflète l’ingestion de résultats de recherche plutôt que le scraping direct, puisque les vérifications d’ASN ont indiqué que le trafic provenait des réseaux de moteurs de recherche attendus, plutôt que d’identités usurpées.

Cela suggère, affirme le document, une couche supplémentaire d’opacité dans le pipeline Web-IA, où le blocage des scrapeurs IA connus peut ne pas empêcher l’utilisation des données, et où éviter l’inclusion peut nécessiter de se désinscrire complètement de l’indexation de recherche – un choix indésirable alors que la tension entre le référencement traditionnel et la recherche basée sur les LLM est encore loin d’être résolue.

Cache Seulement

Les auteurs ont ensuite testé si la suppression d’une source affecterait les sorties des chatbots, en mettant les sites de test hors ligne et en interrogeant à nouveau les systèmes après un intervalle d’une semaine. Selon le document, de nombreux chatbots ont continué à reproduire le contenu « planté » même après une semaine de temps d’arrêt, indiquant que les réponses étaient tirées de données mises en cache, plutôt que d’une récupération en temps réel.

Cette persistance a été la plus évidente dans les systèmes liés aux scrapeurs de recherche, où le contenu précédemment indexé est resté disponible, malgré les pages sources qui n’étaient plus accessibles – bien que des comportements similaires aient également été observés dans les systèmes associés à des agents de type navigateur, indiquant que la mise en cache peut aller au-delà des pipelines soutenus par la recherche.

Le document suggère qu’une fois que le contenu entre dans une mise en cache, que ce soit maintenue par le chatbot ou accessible via les indexes de recherche, la suppression de la page d’origine ne retire pas nécessairement ce contenu des sorties ultérieures.

Conclusion

Les auteurs reconnaissent qu’une certaine « fuite » se produira dans cette approche classique « en silo », puisque les jetons uniques destinés à un LLM peuvent parfois se retrouver dans les résultats de recherche (générés par les jetons « réels »), qui sont ensuite ingérés par un deuxième LLM. Cependant, dans de tels schémas, la diffusion de ce type est inévitable, et la vigilance pour la première occurrence est le moment critique et décisif.

Ce qui reste à voir est dans quelle mesure un tel schéma pourrait être mis en œuvre à grande échelle, notamment puisque, comme le notent les auteurs, on manquerait rapidement de jetons contextuellement corrects.

Cependant, cela manque un peu le point, puisque il peut y avoir une limite même à la hardiesse de la capacité des entreprises IA à faire fi de preuves claires de leurs propres mensonges sur leurs politiques de scraping. De plus, à moins que ces entreprises ne s’engagent dans la voie potentiellement coûteuse de faire pivoter les adresses IP nationales pour masquer leur identité, il suffira qu’une seule organisation identifie et publie une liste noire de type SpamHaus d’adresses IP ou d’ASNs de bots IA malveillants; le processus n’a pas besoin d’être industrialisé pour être efficace.

Publié pour la première fois le jeudi 14 mai 2026