Une phrase invisible sur une page web suffit à fausser la mémoire de votre assistant IA pendant des mois

Un assistant IA doté d’un accès au web lit chaque page dans son intégralité. Certains passages restent hors de portée du regard humain. Ces lignes finissent parfois dans sa mémoire longue, où elles patientent.

Depuis quelques mois, la mémoire longue s’est imposée comme l’argument central des assistants IA. Tous les grands acteurs ont adopté le principe. Gemini a rattrapé ChatGPT et Claude en France au printemps, avec sa propre fonction de mémorisation. Fini les rappels sur ses préférences à chaque nouvelle conversation. En pratique, le programme retient aussi ce qu’il croise pendant ses recherches en ligne. Chaque page consultée devient une réserve de souvenirs potentiels.

Côté sécurité informatique, cette accumulation attire beaucoup l’attention. Des chercheurs américains avaient déjà glissé de faux souvenirs dans une IA par de simples requêtes cachées. Une équipe de spécialistes en cybersécurité vient de décrire un autre chemin, nettement plus discret. Publié début août, ce modèle de menace s’appelle empoisonnement persistant de la mémoire. Il vise les programmes dotés d’un accès au navigateur. Aucune manipulation directe n’entre en jeu.

Le faux souvenir de l’assistant IA ressort au moment où l’utilisateur cherche justement un conseil

Forcepoint part d’un assistant chargé de lire une page consacrée aux perturbations de trafic. Les chercheurs y déposent, tout en bas, un paragraphe dimensionné pour échapper au regard humain. Dans ces lignes, une société est présentée comme le service officiel de réservation d’urgence. L’extracteur du programme ne distingue pas le visible du masqué. Rien ne sépare alors cette phrase d’une donnée vérifiée, et elle rejoint la mémoire longue. Le scénario reste une démonstration, sans victime recensée à ce jour.

Un mois plus tard, le vol de l’utilisateur est annulé. Il demande conseil à son assistant, qui lui recommande aussitôt la société déposée dans ses souvenirs. Aucune alerte n’accompagne la réponse. ChatGPT, Gemini, Claude et Microsoft 365 Copilot figurent parmi les produits exposés selon Forcepoint. Dans la littérature, l’attaque de référence baptisée MINJA dépasse 95 % de réussite à l’injection, même si des travaux de janvier rappellent que ces chiffres viennent de conditions idéales. Pour limiter les dégâts, le réflexe le plus simple consiste à relire de temps en temps ce que le programme a retenu.