Dark Sourcery : pages Web empoisonnées, 374 marques et des réponses que personne n’a vérifiées

Le 23 septembre 2026, la société de sécurité Vigilance Security a publié une recherche décrivant une campagne active qu'elle appelle Dark Sourcery : les attaquants inondent le web ouvert de publications optimisées, de PDF, d'avis et de fausses pages d'assistance afin que ChatGPT, Google Gemini et Google AI Overviews renvoient des numéros de téléphone, des adresses e-mail et des pages de connexion frauduleux comme coordonnées officielles d'une entreprise. Dark Reading a rapporté cette recherche le jour même, citant Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb et TripAdvisor parmi au moins 374 entreprises touchées, avec des dizaines de milliers de pages malveillantes derrière elles. Aucun modèle n'a été piraté — les pages empoisonnées étaient simplement ce que les modèles lisaient, et la fraude arrivait avec la crédibilité propre de l'assistant. Cet enregistrement constitue une entrée de l'OrcaRouter AI Incident Archive, qui recense les incidents liés à l'IA et les résultats de recherche avec les mêmes champs que ceux utilisés ici : gravité, confiance, statut contesté et préjudice réel.

Ce que Vigilance Security a réellement publié

La recherche est un article Medium d’Ariel Simon, vice-président de la recherche chez Vigilance, intitulé « Dark Sourcery: How Hackers Manipulate AI to Scam You », publié le 23 septembre 2026. L’article de Dark Reading, rédigé par Elizabeth Montalbano, contributrice, et horodaté à 14:47 UTC ce jour-là, renvoie directement à cet article et cite Simon tout au long. Le billet décrit une opération de contenu plutôt qu’un exploit : aucune vulnérabilité n’est exploitée, aucun identifiant n’est volé directement par l’attaquant, et rien n’est envoyé à un modèle que ce dernier pourrait apprendre à refuser.

Vigilance affirme avoir identifié « des dizaines de milliers de pages malveillantes » contenant de faux numéros d’assistance, adresses e-mail, pages de connexion, informations de mise à jour logicielle et autres détails frauduleux, conçues pour orienter ce que disent les chatbots. Elle estime à « au moins 374 » le nombre d’entreprises concernées, dont des organisations du Fortune 100, de grandes compagnies aériennes, banques, sociétés de voyage et fournisseurs de logiciels. Les marques citées dans le rapport de Dark Reading sont Delta, Lufthansa, Qatar Airways, Chase, Bank of America, Airbnb et TripAdvisor.

Ni l’article de recherche ni les reportages qui ont suivi ne fournissent de ventilation par marque — quel faux numéro appartenait à quelle entreprise, combien de pages empoisonnées visaient chacune, ou quand telle ou telle page individuelle a été mise en ligne. Le chiffre de 374 est présenté comme un total, et le compte rendu le reprend de la même manière.

Simon cite également une étude d’Exploding Topics, publiée en août 2026, qui constate que 91 % des personnes utilisant des chatbots d’IA ne vérifient pas les réponses fournies. Ce chiffre constitue la prémisse de la campagne plutôt que sa mesure : il est cité dans la recherche et repris par Dark Reading et IANS, et sa propre méthodologie n’est décrite dans aucun des articles examinés ici. Dans la formulation de Simon, « si les attaquants contrôlent l’IA et que nous lui faisons aveuglément confiance, ils nous contrôlent essentiellement ».

Comment l’empoisonnement est construit

Le mécanisme comporte trois parties, et seule la première relève de l’attaquant au sens conventionnel. Premièrement, parsemer le Web de pages qui énoncent la fausse coordonnée de contact. Deuxièmement, faire en sorte que ces pages semblent provenir d’une source à laquelle un système de récupération devrait faire confiance. Troisièmement, laisser l’assistant faire les citations.

La deuxième étape est celle sur laquelle Vigilance met le plus l’accent. « Nous soupçonnons que les domaines à forte autorité (universités, gouvernement), combinés à des sources d’opinion publique (réseaux sociaux, forums, avis d’utilisateurs), ont largement réussi à empoisonner les réponses de l’IA », a déclaré Simon à Dark Reading. « Selon le modèle, l’IA examine la source et accorde davantage de crédit au contenu s’il provient d’une entité faisant autorité. » C’est une description de la réputation empruntée : une page universitaire compromise ou détournée fournit l’autorité, et un ensemble dispersé de messages de forums et d’avis fournit l’apparence que l’affirmation est corroborée ailleurs.

Ground Truth, un média qui vérifie les affirmations de l’IA par rapport à leurs sources, a résumé les tactiques d’ensemencement énumérées dans le billet de Simon : les mêmes coordonnées fausses ou similaires diffusées dans des publications générées par les utilisateurs, des PDF, des pages hébergées, des avis, des plateformes de collecte de fonds et d’emploi, et des contenus de type questions-réponses ; des détails calibrés pour la récupération, avec un formatage et des expressions répétés tels que « 24/7 » et « mis à jour en 2026 » ; et le même numéro de téléphone présenté avec des espaces, des points, des emojis, des caractères Unicode ressemblants ou des mots écrits en toutes lettres. Cette dernière technique joue un double rôle : elle déjoue la détection de chaînes en double tandis qu’un modèle continue de lire un seul numéro. Ground Truth décrit précisément l’objectif : non pas une page virale, mais « l’apparence d’une corroboration indépendante ».

Le compte rendu de GIGAZINE sur cette recherche offre une illustration concrète : une publication et une image fabriquées de support d'imprimante HP, portant un numéro de téléphone qui n'était pas celui de HP. Il s'agit d'un exemple du schéma plutôt que d'un cas audité, et le média l'attribue aux recherches de Vigilance plutôt qu'à une enquête qui lui serait propre.

Ce n’est pas une injection de prompt — mais c’est classé comme telle.

La distinction compte, et Simon l’établit explicitement. Dark Reading le cite disant que la campagne diffère de l’injection de prompt « en ce qu’elle n’implique pas que l’attaquant donne à l’IA des instructions ou des prompts explicites, ce qui pourrait être contré par les défenses de l’IA ». Sa formulation plus nette : « Ici, la désinformation présentée comme des faits pousse l’IA à répondre à l’utilisateur avec les fausses informations, sans jamais suivre aucune instruction/prompt de l’attaquant, contournant essentiellement toutes les défenses. »

Cela diffère aussi de l’empoisonnement des données d’entraînement, qui corrompt ce qu’un modèle a appris avant son déploiement. Tout ici se produit au moment de la récupération, face au Web en direct, après la mise en service du modèle — c’est pourquoi aucun réentraînement ne le corrige et pourquoi la page empoisonnée peut être retirée sans que la réponse change nécessairement.

L’archive classe ce dossier sous IPI, son tag d’injection indirecte de prompt. À lire attentivement, le tag et la recherche décrivent des choses adjacentes : IPI couvre le contenu qui atteint un modèle indirectement, à l’intérieur de matériel que le modèle est chargé de traiter, plutôt que saisi par son utilisateur. Dark Sourcery est ce canal avec l’instruction retirée — la charge utile est un fait, pas une commande. Le tag est une décision de classement concernant le canal ; le compte rendu de Simon est une affirmation concernant la charge utile, et les deux ne sont pas en conflit. Ce qu’il ne faut pas lire dans le tag, c’est l’affirmation qu’un prompt d’attaquant a été délivré, car selon le compte rendu même de la recherche, aucun ne l’a été.

Ce que le dossier établit, et ce qu’il n’établit pas

L’archive attribue à ce dossier la note B — documenté, mais à partir d’une source unique ou secondaire — et cette note est l’élément le plus utile qu’il contient. Rien dans la documentation examinée ici ne contredit la recherche. Le problème n’est pas la contradiction ; c’est que la chaîne de preuves ne repose que sur un seul document.

• Établi : Vigilance Security a publié la recherche le 23 septembre 2026 sous le nom de Simon, et elle y formule les allégations décrites ci-dessus — les 374 entreprises, les dizaines de milliers de pages, les marques citées, le mécanisme, la tactique de l’autorité empruntée.

Établi : la recherche a été relayée le jour même par Dark Reading, et en l’espace de cinq jours par IANS (24 septembre), GIGAZINE et Ground Truth (25 septembre), NEWSru.co.il citant le média israélien Israel Defense (27 septembre), ainsi que les pages de recherche des fournisseurs Aviatrix (23 septembre) et Kronus Intelligence Group (28 septembre).

• Cela n’établit pas une vérification indépendante. Chacun de ces articles remonte au billet de Simon ou à l’article de Dark Reading qui en rend compte, de sorte qu’ils diffusent les affirmations plutôt que de les vérifier. La deuxième URL citée par l’archive elle-même, bestsec.net, est une revue de presse en cybersécurité renouvelée quotidiennement ; le 26 octobre 2026, sa page d’accueil ne présentait aucun article sur Dark Sourcery, de sorte que l’article de Dark Reading constitue la citation pérenne.

• Non établi : l’échelle. Ground Truth déclare clairement que « les affirmations de la divulgation concernant 374 entreprises affectées et des dizaines de milliers de pages n’ont pas été auditées de manière indépendante », et qu’aucun jeu de données public, corpus de pages malveillantes ou journal de requêtes reproductible n’a été publié. L’analyse du 28 septembre de Kronus Intelligence Group parvient à la même conclusion et propose une étiquette utile : décrire le mécanisme comme établi et l’échelle comme « rapportée mais non vérifiée ».

• Non établie : la reproductibilité, de l’aveu même des chercheurs. Ground Truth rapporte que Simon a qualifié les résultats de statistiques et déclaré qu’ils ne se reproduisaient pas à chaque exécution d’une requête. C’est une propriété ordinaire des systèmes augmentés par la recherche documentaire — classements, versions de modèles, lieu, moment et formulation varient tous — et c’est aussi la raison pour laquelle le constat n’a pas pu être démontré à la demande.

• Non établi : l’ampleur du préjudice. L’archive consigne un préjudice réel comme avéré, et la base de cette affirmation est étroite. Simon a déclaré à Dark Reading que Vigilance avait constaté « quelques occurrences » de personnes se plaignant d’avoir été arnaquées et amenées à communiquer des détails de paiement ou des données de carte de paiement par des numéros frauduleux fournis dans les réponses de chatbots. Les chercheurs ont aussi appelé eux-mêmes certains des faux numéros et sont tombés sur un représentant qui a proposé de « modifier notre vol » ou de « débloquer notre compte bancaire », puis a demandé les détails de la carte. Aucune victime n’est nommée, aucune perte n’est quantifiée, et aucune plainte ni action répressive n’est citée.

• Non contesté : les archives consignent l'entrée comme non contestée, et cela se confirme — les questions ouvertes dans la couverture sont des omissions dans la divulgation, non des désaccords avec celle-ci.

Ce que les deux plateformes ont dit

Selon NEWSru.co.il, citant Israel Defense, les chercheurs ont signalé ce comportement aux deux fournisseurs. La position rapportée de Google était que ce type de désinformation sort du cadre de son programme de divulgation des vulnérabilités. OpenAI aurait clos le rapport au motif que les résultats ne pouvaient pas être reproduits de manière fiable, compte tenu de la variabilité des réponses des modèles de langage. Les deux résumés sont des paraphrases : l’article ne nomme aucun porte-parole dans l’une ou l’autre entreprise, ne fournit aucune citation directe et ne date pas les réponses.

Aucune des deux réponses ne nie que les réponses empoisonnées existent. Lues comme des décisions de triage plutôt que comme des réfutations, elles sont au moins toutes deux cohérentes en interne — un bug bounty est conçu pour récompenser un défaut reproductible dans le code, or ce n’est ni reproductible à la demande ni un défaut dans le code. La page empoisonnée se trouve sur le site web de quelqu’un d’autre. Ce que l’échange démontre, c’est une lacune : le préjudice est bien réel puisqu’il produit des victimes, et le comportement est suffisamment variable pour échouer à un test de reproduction, si bien qu’il se situe dans l’espace entre « vulnérabilité de sécurité » et « problème de contenu », où aucun canal de divulgation ne l’attend.

Au moment de l’analyse de Kronus du 28 septembre, ni OpenAI ni Google n’avaient publiquement confirmé ou réfuté le chiffre de 374 entreprises, et aucune déclaration de l’une ou l’autre société n’apparaît dans les articles examinés ici.

Qu’est-ce qui a changé par la suite ?

Aucune modification de la plateforme n’a été annoncée en réponse. La campagne était décrite comme toujours en cours lors de la publication, le 23 septembre, et selon l’évaluation de Simon lui-même, le bilan n’est pas terminé : « Nous pensons que l’impact réel de ces escroqueries se produit maintenant, et nous ne sommes toujours pas en mesure de comprendre ou de mesurer pleinement l’impact total. »

Ce qui existe à la place, ce sont des conseils. Les recommandations de Simon, telles que rapportées par Dark Reading, vont dans trois directions. Pour les utilisateurs : vérifier ce qu’un assistant vous dit plutôt que de le considérer comme infaillible. Pour les marques : prendre au sérieux les plaintes des clients concernant les arnaques, surveiller les réponses de l’IA que les clients reçoivent réellement et les sources que ces réponses citent, et donner la priorité aux catégories où un mauvais numéro coûte cher — assistance, récupération de compte, remboursements, paiements et téléchargements de logiciels. Pour les organisations qui exploitent des agents : surveiller en cours d’exécution, vérifier chaque source et chaque contenu qui entre dans le contexte du modèle, et contrôler les détails critiques — numéros de téléphone, liens, packages logiciels, lignes de commande — avant d’agir sur ceux-ci. L’étape de comparaison qu’il suggère est délibérément manuelle : « Comparez les numéros de téléphone, adresses e-mail et URL renvoyés avec les dossiers vérifiés de l’entreprise, puis enquêtez sur les détails inconnus et les indicateurs récurrents sur des sites web sans lien entre eux. »

IANS a soumis le même conseil à l'examen de son comité d'experts, Josh More inscrivant la campagne dans une filiation — « Nous voyons cela sur les moteurs de recherche depuis des années » — et George Gerchow condensant le mécanisme en une phrase à retenir : « Personne n'est entré par effraction dans le modèle. Ils ont semé les sources auxquelles il fait confiance et l'ont laissé parler. Le chatbot n'a pas été piraté ; il a été nourri. » Les recommandations du comité d'experts d'IANS ajoutent la surveillance de la marque et des limites à l'autonomie des agents aux conseils de vérification, et aucune d'elles ne constitue un correctif.

Pourquoi le document mérite d'être conservé

L’empoisonnement des résultats de recherche n’est pas nouveau. Ce que ce document décrit, c’est le moment où le résultat de recherche a cessé d’être ce que l’utilisateur voit. Dans la version classique, une victime atterrit sur une page, et la page constitue la preuve — mal orthographiée, hébergée bizarrement, visiblement pas la banque. Ici, la page n’est jamais rendue. Un modèle la lit, l’approuve et écrit une phrase qui commence par le nom de la marque et se termine par le numéro de l’attaquant. La citation est peut-être là, mais le jugement qu’une citation étaye normalement a déjà été rendu par quelque chose qui ne se fatigue jamais et ne devient jamais méfiant.

C’est aussi pourquoi la note de confiance associée au dossier accomplit un véritable travail plutôt que de la simple intendance. Le mécanisme ne fait guère de doute — c’est ainsi que sont construits les systèmes augmentés par la récupération, et les analystes du secteur qui en ont parlé l’ont jugé plausible à première vue. L’échelle, elle, fait doute, et continuera d’en faire tant que quelqu’un n’aura pas publié un corpus ou un journal de requêtes. La mesure d’une seule entreprise, diffusée par des médias qui citent tous le même billet, est une raison de consigner l’incident et une raison de ne pas répéter le chiffre comme s’il avait été compté deux fois.

La présentation de l’archive elle-même la classe à un niveau de gravité élevé, avec implication de l’IA confirmée, préjudice réel consigné et aucune contestation associée. Ce que l’entrée documente réellement, c’est un transfert de confiance : la réputation de la marque est la matière première, la fluidité de l’assistant est le mécanisme de diffusion, et l’étape de vérification qui l’aurait détecté est celle que 91 % des utilisateurs sont réputés omettre.