Ces sujets attirent beaucoup d’attention – à juste titre –, mais ils ne doivent pas occulter une autre menace liée à l’identité, tout aussi critique.
Cette menace est discrète, mais profondément dangereuse.
Les acteurs malveillants utilisent désormais l’IA pour agréger des données publiques et des données personnelles divulguées afin de créer des identités synthétiques. Il s’agit de personnes fictives, construites à partir de données authentiques, mais réassemblées pour donner l’illusion d’un individu réel.
Ces identités posent un problème majeur : les systèmes antifraudes traditionnels ne sont pas conçus pour les détecter. Nous avons besoin de modèles d’IA capables d’identifier des comportements humains anormaux et des intentions malveillantes.
Les plateformes et les gouvernements réagissent.
YouTube a étendu, en septembre 2025, sa technologie de détection de ressemblance à l’ensemble des créateurs de son programme Partenaire. Ceux-ci peuvent télécharger une image de leur visage afin que le système identifie les contenus générés par IA utilisant leur image sans autorisation. Une avancée utile pour repérer les deepfakes une fois publiés.
De son côté, le comité du Parlement indien sur les communications et les technologies de l’information a recommandé d’explorer un régime d’octroi de licences pour les créateurs de contenus IA, ainsi que l’étiquetage obligatoire des vidéos et contenus générés par l’IA. Ces mesures visent principalement à lutter contre la désinformation, mais leurs implications sont bien plus larges.
Dans les deux cas, les réponses interviennent après la création et la diffusion du contenu. C’est un premier pas, mais insuffisant. Pour être réellement efficace, la détection doit intervenir en amont, avant que les identités synthétiques ne causent des dommages.
En quoi les identités synthétiques sont-elles différentes ?
Un mauvais deepfake est souvent identifiable sans expertise particulière : regard figé, synchronisation labiale imparfaite, anomalies visuelles ou audio. Les outils de détection sont aujourd’hui performants et même les utilisateurs avertis savent repérer ces défauts.
Il en va de même pour les bots : leur comportement trahit leur nature. Ils publient trop fréquemment, répondent trop vite, utilisent un langage manifestement artificiel ou interagissent selon des schémas atypiques.
Les identités synthétiques, en revanche, fonctionnent autrement.
Elles reposent sur des données réelles : adresses, parcours professionnels, liens sociaux pour créer une personne convaincante. Chaque élément est authentique – seule leur combinaison est fictive.
Les systèmes antifraudes traditionnels recherchent des signaux faibles connus : identifiants compromis, anomalies de fréquence, données déjà signalées. Et cela fonctionne lorsque les attaquants réutilisent les mêmes informations frauduleuses. Mais les identités synthétiques sont uniques, générées à partir de vastes ensembles de données disponibles en ligne ou issues de bases de données compromises. Lorsqu’une est détectée, une autre est déjà en circulation.
Les identifiants peuvent être falsifiés, le comportement beaucoup moins.
Falsifier un document d’identité ? Possible. Fausser des diplômes ? Bien sûr. Créer tout un réseau social pour rendre l’identité crédible ? Les attaquants le font souvent. Mais reproduire un comportement humain cohérent dans la durée ? Là, c’est plus difficile.
Les humains ont des habitudes : leur façon de taper, leurs horaires d’activité, quels systèmes ils utilisent et dans quel ordre, leurs réactions face à l’imprévu. Il y a un rythme dans leur façon de travailler.
Les identités synthétiques, même sophistiquées, finissent par laisser des traces.
Comportements incohérents, accès inadaptés au rôle, pics d’activité inhabituels, réponses mécaniques lors de contrôles… Ce n’est pas aussi flagrant qu’un mauvais deepfake, mais suffisamment subtil pour tromper des systèmes classiques, voir des humains.
Des modèles d’IA entraînés sur les comportements humains peuvent détecter ces anomalies. Non pas en comparant à des signatures connues, mais en identifiant ce qui ne correspond pas à un comportement authentique.
La plupart des organisations ne sont pas prêtes.
Aujourd’hui, la plupart des organisations se fient encore à l’authentification basée sur les identifiants et à la détection des fraudes par règles. Elles vérifient un login, un mot de passe, un document ; puis considèrent l’accès comme sécurisé.
Ces approches ne tiennent pas face à des identités synthétiques conçues précisément pour les contourner.
Passer à une détection basée sur le comportement implique un changement profond d’approche. Il faut repenser la notion même d’identité numérique et accepter que les identifiants seuls ne suffisent plus à prouver qui est qui.
Observer les comportements dans la durée devient indispensable.
Un investissement qui peut sembler conséquent, mais il reste bien moindre que le coût d’une compromission.
Par où commencer ?
Commencez par cibler les systèmes les plus critiques – ceux où une identité synthétique aurait le plus d’impact. Définissez ce qu’est un comportement normal, par rôles, fonctions et localisations. Puis identifiez les écarts.
Allez-vous tout détecter ? Non. Les attaquants qui savent ce que vous surveillez s’adapteront. Mais vous en intercepterez beaucoup plus que simplement en contrôlant des identifiants. Et chaque identité synthétique identifiée rend la suivante plus difficile et coûteuse pour l’adversaire.
L’IA qui permet de générer ces identités peut aussi devenir un allié pour les détecter.
Les grands modèles de langage savent créer de faux profils, mais ils excellent aussi à analyser les comportements et repérer les incohérences.
Les deux camps disposent désormais des mêmes outils. Pour les professionnels de la sécurité, l’enjeu est de combattre le feu par le feu – mais avec plus d’anticipation, de précision et d’intelligence. Et surtout, d’agir avant l’adversaire.
