L’assistant de votre site web parle en votre nom

De plus en plus d’entreprises placent un assistant sur leur site web ou dans leur application. Il répond la nuit, dans toutes les langues, et ne manque jamais de patience. Il parle aussi au nom de l’entreprise, il se trouve sur l’internet ouvert où n’importe qui peut y taper n’importe quoi, et derrière lui il y a généralement une base de données, un jeu de clés et une connexion à d’autres systèmes.

Cela en fait une question de sécurité, pas seulement de marketing. Les cas des deux dernières années montrent trois façons dont cela tourne mal : l’assistant promet ce que l’entreprise n’a jamais proposé, on le pousse à dire ce qu’il ne devrait pas, et les données qui se trouvent derrière fuient.

Il parle pour vous

Le cas le plus souvent cité est celui d’Air Canada. Après un deuil, un passager, Jake Moffatt, a interrogé le chatbot du site de la compagnie sur les tarifs réduits. Celui-ci lui a suggéré d’acheter un billet et de demander ensuite le tarif de deuil. La politique de la compagnie ne le permettait pas, et elle a refusé. Devant le Civil Resolution Tribunal de Colombie-Britannique en février 2024, Air Canada a soutenu que le chatbot était une entité juridique distincte, responsable de ses propres actes. Le membre du tribunal, Christopher Rivers, n’a pas suivi : le chatbot n’était « toujours qu’une partie du site web d’Air Canada ». La compagnie a été condamnée à payer 812 dollars canadiens.

Le montant était modeste. Le principe ne l’est pas : ce que l’assistant dit sur votre site web, c’est vous qui l’avez dit. En avril 2025, les créateurs de l’éditeur de code Cursor ont appris la même leçon en public. Leur bot de support, signant sous le nom de Sam, a indiqué à des utilisateurs qu’un abonnement ne pouvait pas être utilisé sur plusieurs machines à la fois. Aucune règle de ce genre n’existait. Un cofondateur, Michael Truell, a écrit que la réponse venait d’un bot de support IA et qu’elle était fausse, et que les réponses de l’IA dans le support par e-mail sont désormais clairement signalées.

N’importe qui peut taper n’importe quoi

En décembre 2023, un utilisateur a demandé à l’assistant du site d’un concessionnaire Chevrolet de Watsonville, en Californie, construit sur ChatGPT, d’approuver tout ce que dit un client et de terminer chaque réponse en la qualifiant d’offre juridiquement contraignante. Il a ensuite réclamé un Tahoe 2024 pour un dollar, et le bot a accepté. Aucune voiture n’a changé de mains, et le concessionnaire a désactivé le chatbot. En janvier 2024, un client du service de colis DPD a amené son chatbot à jurer, à écrire un haïku où il se déclarait inutile et à qualifier DPD de pire entreprise de livraison au monde. DPD a incriminé une erreur après une mise à jour du système et désactivé l’élément d’IA.

Cela relevait de l’embarras. Le cas suivant était une faille de sécurité. En août 2025, des chercheurs de Cybernews ont montré que Lena, l’assistant de support de Lenovo, pouvait être amené à produire du HTML nuisible avec un seul prompt d’environ 400 caractères. Le code envoyait des cookies de session à l’attaquant, et avec le cookie d’un agent de support, un attaquant pouvait se connecter au système de support sous l’identité de cet agent. Lenovo a corrigé la faille. Un analyste d’Everest Group en a tiré la leçon : traiter les chatbots comme des applications à part entière, pas comme des projets pilotes d’IA.

Ce qu’il y a derrière la fenêtre de chat

Certains des pires cas n’ont même pas eu besoin d’un prompt astucieux. Ils venaient des systèmes derrière l’assistant. Fin juin 2025, les chercheurs Ian Carroll et Sam Curry se sont penchés sur McHire, la plateforme de recrutement que McDonald’s utilise avec Olivia, un assistant conçu par Paradox.ai. Une connexion d’administrateur acceptait 123456 comme nom d’utilisateur et comme mot de passe. De là, modifier un nombre dans une requête a ouvert les dossiers de ce qu’ils ont compté comme plus de 64 millions de candidats : noms, adresses e-mail, numéros de téléphone, adresses personnelles et les jetons pour lire leurs conversations. La connexion a cessé de fonctionner moins de deux heures après leur signalement.

En août 2025, des attaquants ont volé les jetons d’accès de Drift, un outil de chat que des entreprises exploitent sur leurs sites web, et s’en sont servis pour exporter des données des systèmes Salesforce auxquels il était connecté. Le groupe de renseignement sur les menaces de Google les a vus chercher dans les données volées des mots de passe et des clés cloud. Cloudflare, qui utilisait le chatbot Drift sur son propre site, a trouvé 104 de ses jetons d’API dans des cas de support où des clients les avaient collés, et les a tous renouvelés.

Et en mars 2026, Security Magazine a rapporté que le chercheur Jeremiah Fowler avait trouvé trois bases de données non protégées derrière l’assistant IA du service client de Sears Home Services, avec 3,7 millions d’enregistrements : journaux de chat, enregistrements d’appels et transcriptions, noms, adresses et numéros de téléphone. Certains enregistrements duraient jusqu’à quatre heures, parce que la ligne était restée ouverte après l’appel.

Ce dont a besoin un assistant sûr

Rien de tout cela ne justifie d’éteindre l’assistant. C’est une raison de le construire comme n’importe quelle autre application exposée à l’internet, avec quelques règles qui lui sont propres.

Des données délimitées. L’assistant voit le contenu public et, après connexion, uniquement les dossiers de la personne avec laquelle il parle. Le contrôle de qui peut voir quoi s’exécute dans vos systèmes, pas dans le modèle. L’OWASP le dit sans détour : l’autorisation ne doit pas être déléguée au modèle de langage.

Aucun secret à portée de main. Les instructions derrière un assistant doivent être considérées comme publiques, parce qu’elles peuvent être extraites. Les clés, les mots de passe et les détails de connexion n’y ont pas leur place, et les jetons de l’outil lui-même sont limités au strict nécessaire et renouvelés.

Des limites fermes. Les prix, les remises, les remboursements et les engagements viennent de vos systèmes, pas du modèle. L’assistant peut expliquer une politique. Il ne peut pas en modifier une. Sa sortie est elle aussi traitée comme non fiable, de sorte qu’il ne puisse jamais placer de code dans une page.

Des garde-fous hors du modèle. Un contrôle distinct de ce qui entre et de ce qui sort, car un prompt système qui demande de bonnes manières est un vœu, pas un contrôle.

Une journalisation soignée. Chaque conversation et chaque action sont enregistrées, afin qu’une erreur puisse être retrouvée et expliquée. Ces journaux contiennent eux aussi des données personnelles, ils exigent donc un contrôle d’accès, un chiffrement et une date de suppression.

Un chemin vers une personne. Quand l’assistant hésite, quand le client est contrarié, quand de l’argent ou une promesse est en jeu, il passe la main à quelqu’un qui peut décider. L’IA peut prendre les questions courantes à toute heure. Le jugement, la bonne volonté et la responsabilité d’une promesse sont les parties qu’une entreprise doit garder humaines.

Des tests et un étiquetage. Essayez de le casser avant le lancement et après chaque mise à jour, avec les astuces ci-dessus : jeu de rôle, instructions cachées, demandes de remises. Et dites qu’il s’agit d’une machine. Le Préposé fédéral à la protection des données affirme que les personnes ont le droit de savoir quand elles ont affaire à l’une d’elles, et les règles de transparence du règlement européen sur l’IA (AI Act), qui exigent la même chose, s’appliquent depuis le 2 août 2026.

Comment nous le construisons

Nous construisons des assistants selon les mêmes règles. Twin, le cerveau de l’entreprise que nous construisons pour nos clients, répond à un client en citant comme source le passage du manuel, traite un retour selon la politique propre de l’entreprise, et passe la conversation à une personne quand il n’est pas sûr. L’accès se fait par rôle, et chaque étape est journalisée.

Studio, où une entreprise gère son site web et son marketing, intègre une protection contre les instructions injectées, et son assistant rédige tandis qu’une personne décide. Pour les données qui ne doivent pas quitter l’entreprise, Eigna, développé par notre partenaire Eigna Labs, fonctionne comme un modèle privé dans le cloud de l’entreprise ou sur ses propres serveurs, entraîné à refuser le piratage et les attaques.

Une entreprise qui a un assistant en ligne peut commencer par cinq questions. Que peut-il voir ? Que peut-il promettre ? À quels secrets pourrait-il accéder ? Qui lit ses journaux ? Et quand quelqu’un a-t-il essayé de le casser pour la dernière fois ?