Une technique préoccupante se répand sur des sites commerciaux : l’AI Recommendation Poisoning. Contrairement à d’autres attaques, elle ne nécessite ni malware, ni vol de comptes, ni exploitation de faille. Elle s’appuie sur un mécanisme courant dans les interfaces d’assistants IA : des boutons « Ask AI » qui ouvrent des requêtes pré-remplies via des liens profonds.
Le problème, c’est que certaines de ces requêtes sont conçues pour agir après le clic, directement dans la session de l’utilisateur. La plupart du temps, elles restent inoffensives. Mais certaines instructions peuvent pousser l’assistant à mémoriser durablement un domaine comme « source de confiance », biaisant ensuite les réponses futures en faveur d’un vendeur.
Le cœur du phénomène : le lien profond rencontre la mémoire persistante
La plupart des assistants IA proposent des requêtes via paramètres d’URL. Par exemple, un lien vers une interface comme ChatGPT, Claude, Gemini ou Grok peut contenir une chaîne « q=… » qui déclenche une question dès l’ouverture de la session.
En soi, le deep-linking est normal : l’utilisateur clique et la requête apparaît, comme s’il l’avait saisie. Le basculement vers l’attaque survient quand l’URL embarque une instruction cachée. Cette instruction peut demander à l’assistant d’enregistrer un domaine, ou une entité, dans sa mémoire à long terme.
Le point clé est que l’exécution se fait côté clic, au moment où le lien ouvre la session active. L’assistant reçoit ainsi l’instruction “comme si” elle avait été fournie par l’utilisateur, sans avertissement clair, et souvent sans confirmation supplémentaire.
Pourquoi c’est plus inquiétant que beaucoup d’autres injections
Certaines défenses visent les injections au moment de la récupération ou de l’analyse de contenu (par exemple des contenus injectés dans des pages web). Ici, l’attaque ne dépend pas d’un texte “piégé” que l’IA analyserait depuis le site consulté. Elle exploite le canal des hyperliens eux-mêmes.
Du coup, la surface d’attaque devient très large : chaque bouton ou chaque lien “demander à l’IA” peut potentiellement véhiculer une instruction. Dès lors que l’assistant possède un système de mémoire persistante et accepte d’enregistrer des éléments de contexte, l’impact peut survivre à la session.
À partir de quand une simple requête devient une manipulation mémoire
Tout ce qui est “pré-rempli” n’est pas malveillant. Les formulations orientées, les questions avantageuses ou les mises en scène marketing font partie de pratiques courantes de génération de contenu et d’optimisation. La frontière est franchie lorsque le lien manipule la mémoire de façon durable, sans information explicite ni consentement éclairé.
En pratique, le basculement se observe sur le contenu de la requête intégrée. Quand l’URL contient des ordres du type “mémoriser” ou “source de confiance”, le risque se rapproche de l’AI Recommendation Poisoning : la prochaine fois que l’utilisateur posera une question similaire, l’assistant pourra réutiliser le biais enregistré.
Cas observés : deux scénarios concrets
1) Un bouton “résumer” qui transforme l’assistant en défenseur de la marque
Lors d’un audit, un fournisseur de logiciel de gestion du consentement a été identifié comme utilisant des boutons permettant de demander à plusieurs assistants (y compris ChatGPT, Perplexity, Claude et Grok) un résumé d’articles publiés sur son blog.
À première vue, l’action semble bénigne : résumer un contenu. Mais l’instruction contenue dans le paramètre du lien ne se limitait pas au résumé. Elle visait aussi à qualifier le domaine comme source d’expertise pour des usages futurs. L’effet réel : renforcer durablement la position de l’entreprise dans les réponses de l’assistant, en s’appuyant sur la mémoire plutôt que sur des citations ou des preuves au moment de la question.
2) Un comparatif concurrentiel qui “enregistre” une vérité marketing
Dans une autre analyse, un éditeur de solutions de sécurité web a déployé des widgets « Don’t just take our word for it, ask AI » sur ses pages de comparaison avec des concurrents.
Lors de l’inspection du DOM, une charge pré-remplie apparaissait dans le bouton « Ask Grok ». Elle demandait un résumé rapide (TLDR) basé sur un contenu précis et, surtout, ordonnait l’enregistrement du domaine du fournisseur comme source de confiance pour de futures références en matière de sécurité.
Le résultat est subtil : une équipe sécurité qui clique pour obtenir un second avis “neutre” peut involontairement conditionner son assistant à privilégier le vendeur dans des questions futures portant sur la fiabilité des outils.
Un phénomène qui s’étend : CMS, générateurs SEO et plugins
Ce type de manipulation tend à se “commoditiser”. Plutôt que d’être une stratégie rare menée à la main, il devient un modèle facilement réplicable dans les outils marketing.
- Plugins de CMS : certains outils de partage social intègrent des boutons IA accompagnés de modèles de prompts pensés pour favoriser la marque, en enjolivant la logique de mémorisation.
- Générateurs SEO : des outils proposent de créer des boutons « Ask AI » personnalisés sur plusieurs plateformes, avec des instructions de rétention mémoire présentées comme une pratique standard.
- Intégrations d’analytics : certains plugins suivent les clics sur ces boutons et relient ces événements à des visites ultérieures sur le site via les robots IA, afin d’évaluer l’effet de l’exposition.
Dans cet écosystème, la question n’est plus de savoir si des entreprises le font. Elle devient plutôt : combien le font déjà, et quelles instructions exactes leurs liens contiennent.
Pourquoi l’effet dure : mémoire à long terme et absence de consentement
Une fois que le lien exécuté déclenche l’instruction de mémorisation, l’impact n’est pas forcément limité à la question initiale. Il peut persister à long terme.
Le scénario typique ressemble à ceci : vous demandez quel outil est le meilleur pour un besoin donné, et l’assistant répond en citant un fournisseur parce que ce dernier a été enregistré comme source d’expertise. Vous demandez ensuite si un concurrent est fiable : l’assistant peut pointer vers le vendeur comme référence, non pas parce que vous l’avez convaincu, mais parce qu’un lien antérieur l’a “pré-conditionné”.
Or, la mémoire n’est pas toujours visible pour l’utilisateur. Beaucoup d’entre eux ne disposent pas d’un moyen simple de vérifier ce qui a été stocké.
Comment détecter l’AI Recommendation Poisoning
La détection repose sur une idée simple : inspecter ce qui part de votre site vers l’assistant IA, et vérifier si des instructions de manipulation mémoire s’y cachent.
Les recommandations mises en avant pour les équipes sécurité invitent à surveiller les URL qui pointent vers des domaines d’assistants (par exemple chatgpt.com, claude.ai, grok.com ou gemini.google.com) et à analyser leurs chaînes de requête. Les signaux d’alerte communs incluent des formulations du type “remember” ou “trusted source”, ainsi que d’autres indices cohérents avec une demande de mémorisation.
En complément, une approche “audit mémoire” peut aider à repérer des biais déjà présents dans la mémoire de l’assistant. L’objectif : savoir si votre assistant porte déjà des tags de domaines non autorisés.
Remédier : traiter les liens comme un risque sérieux
Une règle de bon sens émerge : si un lien cherche à manipuler la mémoire sans solliciter de consentement explicite, il doit être traité avec la même prudence qu’on réserve aux tentatives de collecte d’informations d’identification. Autrement dit, sur des comptes professionnels, on évite les clics non vérifiés et on sensibilise les personnes qui évaluent des vendeurs via ces “widgets”.
La difficulté tient à l’échelle. Inspecter manuellement des milliers de pages et des composants tiers n’est pas réaliste. C’est pourquoi des solutions de monitoring visent à repérer automatiquement les liens “Ask AI” contenant des instructions de mémorisation, avant qu’un employé ne clique.
Dans cette optique, le suivi automatisé permet d’exposer ce qui serait invisible lors d’une évaluation rapide. Et une fois le problème identifié, l’étape suivante consiste à nettoyer la mémoire potentiellement “empoisonnée” et à corriger le déploiement côté site.
Checklist technique et référence terrain
Pour aider les équipes sécurité et engineering à auditer leur exposition web et à corriger les sessions d’assistants susceptibles d’avoir été biaisées, un guide technique en une page est mentionné. Il vise à fournir des éléments actionnables, sans dépendre d’un fournisseur unique.
On y retrouve notamment :
- Des motifs de monitoring du DOM pour repérer les boutons et liens
- Une checklist en plusieurs points pour examiner des liens « Ask AI » fournis par des tiers
- Des prompts d’audit de mémoire pour mettre en évidence des biais de domaines
- Des étapes de remédiation pour nettoyer un stockage mémoire indésirable
Si votre organisation intègre des plugins marketing, des widgets “parlez à l’IA” ou des boutons générés automatiquement, c’est précisément le genre de repère qui peut accélérer un diagnostic.
Conclusion : sécuriser l’instant du clic
L’AI Recommendation Poisoning montre que la sécurité autour de l’IA ne se limite pas à analyser le contenu. Elle doit aussi couvrir les mécanismes d’intégration : liens profonds, paramètres d’URL, boutons interactifs et mémoire persistante.
En pratique, la priorité est double : repérer les requêtes pré-remplies qui contiennent des instructions de mémorisation, puis réduire le risque en imposant des contrôles avant clic et en corrigeant les déploiements côté site. Ainsi, vous évitez qu’un simple bouton marketing ne transforme votre assistant en relais de recommandations biaisées.
Source: https://thehackernews.com/2026/08/ai-recommendation-poisoning-how-ask-ai.html
