Déguisé en ChatGPT
Dans nos journaux, une case nous faisait plaisir : « un humain demande » — les visites où une personne pose une question à une IA, qui vient lire notre site pour lui répondre. Des dizaines de pages lues. Puis on a regardé lesquelles. Et le plaisir est retombé.
1. La case qui faisait plaisir
Quand un robot d'IA se présente, sa carte de visite dit son rôle : moissonneuse d'entraînement, outil de recherche, ou « un humain demande » — le mode où une vraie personne, quelque part, a posé une question et où l'IA vient chercher la réponse chez vous. Cette dernière case, c'est celle qu'on a envie de croire : elle veut dire on nous cherche.
2. Ce que les pages demandées racontaient
En listant les adresses demandées sous cette étiquette, on attendait des articles. On a trouvé autre chose : des chemins de fichiers de configuration, des tentatives de lecture de la mémoire du serveur, des noms de fichiers d'identifiants de services en nuage. Des adresses qu'aucun lecteur ne demande, qu'aucun article ne contient — mais que tout attaquant essaie, dans l'espoir d'une porte mal fermée.
3. Deux explications, et on ne tranche pas sans preuve
Première possibilité : le déguisement. La carte de visite est du texte libre ; un scanner qui s'écrit « ChatGPT » passe les filtres avec le sourire, car qui ose bloquer ChatGPT ? Deuxième possibilité, plus retorse : le relais abusé. Le robot est authentique — mais c'est un attaquant, de l'autre côté, qui lui demande poliment d'aller chercher ces adresses-là. L'IA sert alors de gant : la main est ailleurs.
Les deux existent. Les distinguer demande la même épreuve que pour les moteurs de recherche : vérifier l'adresse au bottin d'internet et aux listes officielles des éditeurs. Un déguisé échoue à l'épreuve ; un relais abusé la passe — et révèle alors un problème d'une autre nature, qui se traite côté contenu, pas côté identité.
4. La leçon de comptage
La vraie morale est statistique : tant que cette case n'est pas triée entre le vrai lecteur et le fouilleur déguisé, son chiffre ne veut rien dire. Nous avions annoncé fièrement des dizaines de pages « lues pour des humains » ; une partie était des coups de sonde. Compter sans vérifier, c'est se raconter l'histoire qu'on a envie d'entendre.
- Une étiquette flatteuse attire moins de méfiance qu'une étiquette inquiétante. C'est exactement pour ça qu'on la choisit.
- Le comportement ne se maquille pas : les adresses demandées trahissent l'intention, quel que soit le nom déclaré.
- Un chiffre qui fait plaisir mérite plus de vérification qu'un chiffre qui inquiète — pas moins.