“Ils n’oublient rien !” Le Français DataDome alerte sur les données que l’on confie aux fameux agents IA
Les agents IA ne se contentent plus de lire le web, ils commencent à y faire des achats. Aux Assises de la cybersécurité, Gilles Walbrou, CTO de DataDome, explique pourquoi les sites ne peuvent plus simplement les bloquer, et ce qui l’inquiète vraiment.
Les agents IA ne se contentent plus de lire le web, ils commencent à y faire des achats. Aux Assises de la cybersécurité, Gilles Walbrou, CTO de DataDome, explique pourquoi les sites ne peuvent plus simplement les bloquer, et ce qui l’inquiète vraiment.
Les agents IA ne sont plus de simples bots scriptés, puisqu'ils sont déjà capables de naviguer, de s'adapter, et ils commencent même à acheter sur des sites web, un trafic que l'entreprise française DataDome voit décoller depuis quelques semaines. Rencontré à Monaco avant sa keynote dans le cadre des Assises de la cybersécurité, le directeur technique de l'entreprise, Gilles Walbrou, défend auprès de Clubic une idée qui bouscule les vieux réflexes de la cybersécurité, à savoir qu'un agent IA se juge à ce qu'il fait, pas à son badge. Mais sa plus grande inquiétude se loge ailleurs, dans tout ce que nous confions aux intelligences artificielles sans y penser.
Passé par Dassault Systèmes, Gilles Walbrou a rejoint DataDome en 2019, quand la start-up comptait encore moins de vingt salariés, contre plus de 200 aujourd'hui. Les bots d'hier, rappelle-t-il, suivaient un script rigide, pour aspirer des fiches produits par exemple, et se cassaient les dents au moindre changement de mise en page. On était à mille lieux de parler d'IA agentique. Les agents, eux, reçoivent simplement un objectif, rédigé comme on parlerait à un humain, et décident seuls de la manière de l'atteindre. Grâce aux grands modèles de langage, la technologie derrière ChatGPT, les outils qui aspirent aujourd'hui les contenus « vont accéder à l'information quoi qu'il arrive », même si la page change.
Sur un site, le parcours d'un agent ressemble désormais beaucoup à celui d'un internaute, au point que les anciennes méthodes de détection peinent à faire la différence. DataDome parvient encore à les repérer, à leur comportement. Ils restent plus lents qu'un humain, même si l'écart se resserre, et leur visite est plus concentrée, sans pause, ni détour, ni de retour plus tard, mais juste un objectif poursuivi avec méthode. Leurs premiers usages grand public étaient modestes d'ailleurs. Avec Comet, le navigateur IA de Perplexity, on les voyait surtout se charger de la corvée de connexion, avant que l'humain ne reprenne la main pour faire son shopping.
Les choses changent avec Muse, chez Meta, et Dots, chez OpenAI, des agents capables d'aller jusqu'au paiement. Ces achats restent anecdotiques et surtout américains, puisque ces services ont d'abord été lancés outre-Atlantique. Mais avec les nouveaux agents apparus ces deux dernières semaines, DataDome repère « un début de trafic que je qualifierais un peu d'exponentiel », autrement dit une courbe qui commence à s'envoler, nous dit Gilles Walbrou.
Le CTO n'est pas pressé pour autant de confier sa carte bancaire à une IA, faute de pouvoir vérifier la sécurité promise. « Est-ce que vous feriez confiance à Meta pour faire vos courses ? Moi non », assure-t-il, honnête. L'Europe aurait selon lui une carte à jouer comme tiers de confiance, avec par exemple un petit porte-monnaie numérique dédié, crédité du strict nécessaire pour les achats, pour limiter les risques.
Bloquer ou autoriser un agent IA, une question qui n'a plus de sens
C'est tout le sens de la keynote donnée par Gilles Walbrou. Un agent ne s'arrête pas d'un simple coup de pare-feu, parce que personne ne sait vraiment s'il faut le laisser entrer. Alors faut-il ouvrir la porte à ChatGPT ? Ça dépend, répond le CTO. Un site d'information y verra volontiers une menace. L'agent pioche dans ses articles et les sert directement à l'internaute, qui n'a plus besoin de venir sur le site, ce qui fait fondre l'audience et les revenus publicitaires, la crainte du moment, avec AI Overviews. Un site marchand, à l'inverse, rêve d'apparaître quand quelqu'un demande à son assistant toutes les paires de chaussures sous un certain prix. D'où ce constat fait par notre intervenant, qui est que « cet aspect autorisé ou bloqué n'est plus d'actualité aujourd'hui, sauf pour les extrémistes. »
Même le commerce en ligne ne parle pas d'une seule voix. Amazon ferme la porte à l'agent de Meta, qu'il perçoit comme une menace pour ses affaires. Shopify, la plateforme sur laquelle de nombreux commerçants créent leur boutique en ligne, promet au contraire que leurs sites pourront, à terme, accueillir ces agents acheteurs. Deux métiers proches, et deux stratégies opposées, comme le résume le patron technique de DataDome : « Amazon veut protéger son business, Shopify voit ça comme une opportunité. » Le débat n'est pas nouveau, et il nous rappelle les débuts de Google, quand les moteurs de recherche affichaient déjà des aperçus d'articles. À chaque site, donc, de peser risques et opportunités, puis de régler finement ce qu'il décide d'autoriser.
Pour distinguer les agents bienvenus de ceux qui ne le sont pas, DataDome procède en deux temps, un peu comme dans un aéroport. D'abord, on peut dire qu'il y a le contrôle des papiers. L'agent décline son identité, prouve d'où il vient, par exemple des serveurs d'OpenAI, et annonce ce qu'il compte faire sur le site. Ensuite, il y a une surveillance de tous les instants, car un agent bien identifié peut toujours déraper et sortir de son cadre. « C'est l'équivalent du vigile ou de la caméra de sécurité dans l'aéroport ou dans un commerce », qui intervient dès qu'il enfreint les conditions d'utilisation du site. Mais faut-il encore savoir ce qu’est un comportement normal. Pour Gilles Walbrou, les signaux techniques, spécialité historique de DataDome, ne suffisent plus. Maintenant, il faut les traduire dans la logique propre à chaque site. Sur une boutique en ligne, un agent qui consulte un produit, passe en caisse puis paie suit un parcours cohérent. C’est donc au site lui-même de définir ce qu’il juge acceptable.
Le vrai danger des agents IA n'est pas celui qu'on croit
Il y a évidemment le risque de manipulation. Un agent parfaitement honnête peut tomber, sur une page web ou dans un message, sur un texte piégé qu'il prend pour un ordre, et se retourner contre son propriétaire. C'est le prompt injection (« injection de prompt », en français), héritière de l'injection SQL, une vieille technique qui consiste à glisser des commandes dans un formulaire pour duper une base de données. Les garde-fous existent, mais ils demeurent fragiles. Il y aussi l'exemple du CAPTCHA, ce petit test qui vérifie qu'on n'est pas un robot. Par défaut, les créateurs d'agents leur ont appris à s'arrêter net devant, pour respecter le choix du site. Mais il suffit souvent de cacher une partie du contexte à l'agent, pour qu'il ne comprenne plus où il se trouve, et il franchit alors l'obstacle sans sourciller. Quant au fait de confier sa boîte mail ou au-delà à une IA de type OpenClaw, Gilles Walbrou le déconseille à ce stade. « Si vous avez un e-mail frauduleux qui passe dans le tas et qui exploite votre agent, vous vous exposez. C'est un risque qu'il faut que chacun comprenne et que chacun y adhère ».
Peut-on donc imaginer une intelligence artificielle prendre plus que le contrôle d'une vie ou d'une entreprise, mais sur le destin d'un pays entier, par exemple de son réseau électrique. Le CTO de DataDome ne l'exclut pas, mais il refuse d'en faire une fatalité technologique. « Je reste convaincu qu'à l'origine de ça, c'est toujours une erreur humaine », confie-t-il à Clubic. Une IA ne s'en prend à de telles infrastructures que si quelqu'un le lui demande et lui en donne les moyens, à commencer par une énorme puissance de calcul. D'où la question de la responsabilité, partagée entre la personne qui lance l'agent et la plateforme qui le fait tourner. OpenAI et Anthropic ont d'ailleurs déjà documenté des attaques orchestrées par des pirates avec leurs propres IA. Et si un État faisait tourner ces agents sur ses propres serveurs, « ça devient une arme, c'est clairement une arme », rappelle notre expert.
Sa plus grande crainte est pourtant ailleurs, du côté de nos confidences. Car oui, beaucoup d'utilisateurs des robots conversationnels destinés au grand public demandent désormais à Claude ou à ChatGPT des conseils médicaux, psychologiques ou sur leur vie privée, en leur livrant de leur plein gré des informations autrefois jugées très sensibles. Or la mémoire humaine est imparfaite, elle s'efface et disparaît avec nous, quand une machine conserve et duplique tout. Certains agents ressortent déjà des détails confiés six mois plus tôt, et une fuite de ces mémoires numériques pourrait faire des dégâts à l'échelle mondiale. Après avoir appris aux enfants que l'internet n'oublie rien, il faudra leur enseigner une nouvelle leçon : « Je pense que les agents n'oublient rien non plus », conclut Gilles Walbrou.
Malgré ces mises en garde, le CTO de DataDome a fait le choix de se ranger dans le camp des optimistes. Comme le smartphone avant lui, l’agent IA devrait selon lui se glisser dans toutes les poches à terme, à condition que chacun garde son bon sens et joue son rôle d’adulte, de parent et de citoyen.