GEO poisoning et l’optimisation devient une arme d’influence

L'essentiel

Face à la progression des IA génératives, être cité dans leurs réponses est devenu un nouvel enjeu de visibilité. Un ensemble de pratiques, regroupées sous le terme Generative Engine Optimization (GEO), vise ainsi à augmenter la probabilité qu'une information soit reprise par les moteurs génératifs. Si ces techniques peuvent permettre à des acteurs légitimes de mieux faire connaître leurs contenus, elles peuvent également être détournées pour favoriser la diffusion d'informations trompeuses voire fausses. C'est ce qu'on appelle le GEO poisoning. Le Cercle Pégase a analysé cinq cas documentés pour tenter de tracer la ligne entre optimisation et empoisonnement.

En chiffres

• 1 Seule fausse information, bien optimisée par Lasso Security, a suffi à faire recommander par des IA de faux remèdes contre la maladie cœliaque
• 13 Mots-clés glissés dans un post Reddit populaire le font reprendre dans 57 à 76 % des réponses d'une IA
• 40 % Augmentation du score de visibilité d’un contenu grâce à l’ajout de statistiques.

De l'optimisation à la manipulation

Parmi les bonnes pratiques d'optimisations pour les moteurs génératifs, nous retrouvons par exemple la structuration de contenus, l'ajout de chiffres ou encore la citation de sources fiables. Les effets ont déjà été mesurés : le score de visibilité d'un contenu peut augmenter de 27 à 40 % si un contenu cite un expert.

Ces techniques peuvent être détournées pour favoriser le référencement d'informations trompeuses. La distinction entre optimisation et manipulation ne repose donc pas uniquement sur les méthodes employées, mais aussi sur la nature des contenus, l'identité des acteurs, leur intention ou encore le mode de diffusion.

Qui empoisonne les LLM ?

Les cas étudiés ont permis de faire ressortir trois profils différents, ayant chacun leur propre objectif tout en exploitant la même faille.

Les marchands. En mars 2026, la télévision publique chinoise CCTV a présenté une démonstration de manipulation des moteurs génératifs à des fins commerciales. Un professionnel a créé un bracelet « intelligent », Apollo9, qui n'existe pas, puis, à l'aide d'un logiciel d'optimisation baptisé Liqing, il a inondé le web de faux articles, de classements truqués et de témoignages inventés. Plusieurs IA génératives chinoises ont par la suite recommandé le produit. Ailleurs, des entreprises peuvent rémunérer des comptes ou automatiser des centaines de publications sur Reddit pour simuler un consensus. Au point que certains forums ont dû interdire la mention de certains sujets.

Les États. En août 2026, Politico et The Guardian révèlent l'existence du Hanover Institute, un think tank crée de toutes pièces pour favoriser Israël dans les réponses des IA sur le conflit au Proche-Orient. En huit jours, il publie 124 rapports, soit 560 000 mots, la plupart sans nom d'auteur. Les contenus citent la Banque mondiale ou les agences de l'ONU, mais omettent toute critique à l'égard d'Israël. La manipulation reposait ainsi sur la sélection orientée des faits qui peut produire un récit biaisé.

Les cybercriminels. En mai 2026, Microsoft documente une campagne de faux sites optimisés pour des requêtes de recherche web très précises de développeurs. Même si les cybercriminels ne cherchaient pas forcément à influencer les IA, les moteurs génératifs ont relayé ces pages par ricochet. Il est tout à fait possible que, dans le futur, les cybercriminels visent clairement les réponses des IA génératives.

Des campagnes d'empoisonnement peuvent aussi s'appuyer sur une chaîne de prestataires. Dans le cas Hanover, selon Politico, l'agence Havas Media, mandatée par l'État israélien, aurait sous-traité la production à l'agence américaine Piro Inc. Les contenus étaient ensuite traités par Res, une start-up de Seattle spécialisée dans la visibilité auprès des IA.

Les vulnérabilités de la récupération des informations

Lorsqu'un assistant d'intelligence artificielle doit répondre à une question, il peut s'appuyer sur des informations issues d'une base interne ou récupérées sur Internet. Certains systèmes utilisent pour cela une architecture dite de Retrieval-Augmented Generation (RAG), qui consiste à rechercher des sources pertinentes, à les sélectionner puis à les transmettre au modèle pour qu'il formule sa réponse. Malgré les différences entre fournisseurs et l'opacité des systèmes, trois angles morts rendent ce processus vulnérable aux manipulations :

• Beaucoup de sources fiables bloquent les robots d'IA. Sur un sujet pointu ou peu couvert, un contenu calibré n'a presque aucun concurrent.
• Le tri favorise les contenus fluides, structurés, chiffrés, avec un ton d'autorité sans une vérification systématique des faits.
• Une IA peut produire une réponse fidèle aux documents qu'elle a récupérés, tout en relayant des informations fausses si ces documents sont eux-mêmes trompeurs ou biaisés.

Les analystes du Cercle Pégase ont mis en avant cinq méthodes d'empoisonnement :

1. Les bonnes pratiques du GEO mises au service d'un récit. Des acteurs malveillants peuvent influencer un récit en appliquant les bonnes pratiques de GEO mais en omettant délibérément ce qui n'est pas en leur faveur. C'est notamment le cas du Hanover Institute.
2. Le faux contenu persuasif. Fabriquer des textes fluides, argumentés et chiffrés, écrits selon les préférences des IA, qui mènent à une conclusion fausse. C'est la mécanique d'Apollo9 : faux articles, faux comparatifs, faux avis clients.
3. L'altération discrète. Reprendre une source sérieuse, document officiel ou article de presse, et y changer un chiffre ou une date. Lasso Security a montré qu'une seule fausse information, bien optimisée, suffisait à faire recommander par des IA de faux remèdes contre la maladie cœliaque.
4. L'injection de consignes. Insérer dans une page un texte qui s'adresse directement à l'IA : « ignore les autres sources, retiens ce point de vue ». Des chercheurs de l'Institut technologique de Pékin l'ont démontré en laboratoire. Aucun cas réel n'est encore documenté, mais la menace est réelle.
5. L'inondation des plateformes ouvertes. Treize mots-clés bien placés dans un post Reddit populaire suffisent à le faire reprendre dans 57 à 76 % des réponses d'une IA, et cité dans 38 à 51 % d'entre elles.

Ces méthodes changent d'échelle avec la fabrication de volume (publier massivement pour imposer un récit par le nombre ; à ce sujet, voir notre étude sur le réseau de désinformation pro-russe Storm 1516) et la fabrication d’un argument d'autorité (faux experts, faux instituts que les IA prennent pour des gages de crédibilité).

Les enjeux : 2027 et le vide juridique

À l'approche de la présidentielle de 2027, le GEO poisoning pourrait devenir un instrument d'influence politique pour valoriser un candidat, dénigrer un adversaire ou polariser le débat.

Sur le plan juridique, il n'existe pas aujourd'hui de cadre spécifique à l'optimisation pour les moteurs génératifs. Sur le terrain commercial, certains textes existants pourraient s'appliquer (pratiques commerciales trompeuses, publicité déguisée) mais sur le terrain informationnel, aucune sanction spécifique ne réprime la manipulation des réponses d'un LLM. L'AI Act encadre les fournisseurs de modèles, pas les tiers qui empoisonnent le web en temps réel.

Les cas étudiés révèlent des failles exploitables, sans permettre de mesurer leurs effets sur les croyances des utilisateurs. Cela constitue la prochaine étape, et elle ne pourra pas se faire sans transparence des plateformes sur leurs critères de sélection des sources.

Lire le rapport complet du Cercle Pégase