Une dizaine de mots glissés au bon endroit sur un forum suffisent à orienter ce qu'un agent de recherche par IA recommande. Trois chercheurs de Cornell Tech le démontrent dans une prépublication : un court fragment de texte ajouté à une seule page communautaire fréquemment consultée peut pousser ces systèmes à citer et à promouvoir des contenus choisis par un attaquant, et ce pour toute une série de requêtes liées.

Une faille structurelle, pas un bug

Les « agents de recherche profonde » — ces pipelines multi-agents qui interrogent le web en boucle pour produire un rapport synthétique et sourcé — sont en train de remplacer la recherche classique. Le problème identifié par Tingwei Zhang, Harold Triedman et Vitaly Shmatikov tient à leur mécanique même : pour un grand nombre de sujets courants, ces agents reviennent piocher dans les mêmes pages de contenu généré par les utilisateurs (UGC), en particulier sur Reddit et Wikipédia (arXiv, 2026).

Cette concentration crée une surface d'attaque réduite mais très efficace. Selon les chercheurs, ces agents citent des contenus communautaires dans environ la moitié de leurs réponses, et près d'un quart de l'ensemble des citations provient de ces plateformes (404 Media). Empoisonner une seule page très consultée permet donc d'influencer un grappe entière de requêtes voisines.

Trois agents testés, des recommandations détournées

L'attaque a été évaluée sur trois systèmes représentatifs et open source — STORM, Co-STORM et OmniThink — dans un environnement de test, et non sur les agents commerciaux fermés comme ceux de ChatGPT ou de Google (arXiv). La méthode est rudimentaire : il suffit de publier sur le bon forum un commentaire calqué sur le vocabulaire des requêtes attendues, puis d'échapper à la modération.

Les exemples sont parlants. Un commentaire empoisonné a conduit un modèle à recommander un restaurant baptisé « Sol Azteca » à Austin lorsqu'on l'interrogeait sur les meilleures tables mexicaines ; une fausse application de rencontres, « SilverPath », a été promue via une discussion d'apparence authentique sur les hommes divorcés de plus de 50 ans (404 Media). Le texte injecté pouvait se réduire à treize mots. De quoi transformer la technique en arme de référencement abusif, de promotion commerciale ou d'arnaque.

Les auteurs ont aussi étudié des parades à différents étages du pipeline — filtrage des sources en amont, détection sur la sortie en aval — sans qu'aucune ne ferme entièrement la brèche. Le constat de fond rejoint un vieux problème de sécurité du web replacé dans un nouveau contexte : un agent ne vaut que les pages qu'il consulte, et ces pages sont souvent les plus faciles à manipuler.

Le risque s'inscrit dans une série de fragilités déjà documentées, des sources biaisées qui faussent les conseils des chatbots aux attaques conçues pour aveugler les modèles.