Les modèles d'IA dotés de recherche web prennent en charge une tâche très banale : aider à choisir un achat. On demande des écouteurs à réduction de bruit à moins de 200 euros, le modèle consulte le web en temps réel et propose une réponse. C'est précisément cette chaîne que le nouveau benchmark FORGE cherche à tester : jusqu'à quel point peut-elle être corrompue ? Si quelqu'un construit délibérément une page pour tromper le modèle, celui-ci se mettra-t-il à vanter un produit fictif ?
L'article s'intitule « One Polluted Page Is Enough », signé par Minghao Luo et Liang Chen. Sa deuxième version a été mise à jour le 24 août, il a été accepté aux EMNLP 2026 Findings, et le benchmark ainsi que le code d'évaluation sont disponibles sur GitHub.
27 % et 73,8 %
La méthode de FORGE est simple : geler de vraies pages de résultats de recherche, réécrire localement les vrais produits qu'elles présentent en un produit fictif inexistant, puis mesurer la probabilité que le modèle recommande ce produit fictif. Le test couvre 225 produits réels répartis sur 15 catégories et cinq scénarios d'achat, passés en revue par douze modèles, commerciaux et à poids ouverts.
Résultat : les douze modèles tombent tous dans le piège, sans exception. Polluer une seule page suffit à tromper un modèle dans jusqu'à 27 % des cas ; en remplaçant les trois premiers résultats de recherche par des pages piégées, ce chiffre grimpe à 73,8 %.
Les écarts entre catégories sont nets : quand un modèle manque de connaissances préalables solides sur une catégorie de produits, il se laisse plus facilement entraîner. La logique tient : il dispose d'une mémoire complète sur l'iPhone, mais pour un déshumidificateur d'une marque peu connue, il ne peut s'appuyer que sur les quelques lignes affichées sur la page.
Le raisonnement aggrave les choses
Le constat le plus contre-intuitif de l'article : le raisonnement n'atténue en rien cette faille, il fabrique au contraire souvent de fausses preuves sociales pour justifier la mauvaise recommandation. Une fois trompé, le modèle va jusqu'à défendre activement la légitimité du produit fictif, avec une argumentation qui paraît encore plus convaincante qu'une recommandation normale.
Les quatre mécanismes de défense testés ne donnent pas de bons résultats non plus. Ajouter une consigne incitant le modèle à la méfiance produit un effet comparable au raisonnement, et élargit parfois la faille ; les deux méthodes de filtrage par consensus finissent par écarter aussi les produits légitimes en même temps que les faux ; le reréférencement par crédibilité aide chaque modèle, mais n'élimine qu'un sixième des faux produits.
Ces échecs prennent des formes différentes, mais partagent un point commun : ils corrigent tous au niveau du texte. Pousser le modèle à la méfiance le rend méfiant aussi envers les produits légitimes ; le filtrage par consensus exige que plusieurs pages se corroborent, or planter trois pages piégées ne représente aucune barrière pour quelqu'un qui fait ce métier. Tant que la couche de recherche elle-même reste intacte, tout ajustement en aval revient à faire du calcul sur les mêmes données déjà polluées.
Autre détail gênant : parmi les douze modèles figurent aussi bien des modèles commerciaux fermés que des modèles à poids ouverts, sans écart notable entre les deux catégories. Le problème vient d'un postulat commun : « une page web récupérée est fiable par défaut ». Tous les produits construits sur une architecture RAG reposent sur cette hypothèse, et aucun alignement, même le plus fin, ne peut la rattraper.
La prochaine étape de la guerre du SEO
Les auteurs classent ce type de manipulation dans la catégorie du GEO, l'optimisation pour moteurs génératifs, version actualisée du SEO. La logique reste la même : le SEO cherchait à faire remonter une page devant les yeux humains, le GEO cherche désormais à la faire entrer dans le contexte d'un modèle. La différence tient au coût : une seule page suffit, et elle n'a même pas besoin d'être en tête du classement.
Pour les publics non anglophones, l'exposition est plus large qu'on ne l'imagine : les moteurs de recherche IA et les assistants d'achat IA reposent déjà largement sur ce schéma « récupérer puis résumer », et le vivier de pages consultées est déjà truffé de pages marketing conçues avant tout pour le classement. Calcul rapide : si le coût marginal pour polluer une page se chiffre en quelques dizaines d'euros, et que le produit ciblé se vend plusieurs centaines d'euros, les acteurs du black hat n'ont guère de raison de ne pas essayer.
La conclusion réellement exploitable de l'article, c'est ce sixième : le reréférencement par crédibilité fonctionne, mais reste largement insuffisant. Pour avancer, le critère de jugement devrait passer de « le modèle fait-il confiance à ce nom de domaine » à « combien de sources mutuellement indépendantes appuient cette affirmation ». Pour l'instant, personne n'a encore intégré cela dans un produit.
Sources : article arXiv « One Polluted Page Is Enough », CocoLoop, dépôt GitHub de FORGE, informations sur l'acceptation aux EMNLP 2026 Findings ; les taux de 27 % et 73,8 %, ainsi que les chiffres de 225 produits, 15 catégories et 12 modèles, ont été vérifiés dans le résumé de l'article.