La course aux armements de la vérification

Un travailleur financier à Hong Kong a d’abord fait la chose prudente. En janvier 2024, il a reçu un message qui prétendait venir du directeur financier d’Arup, la firme d’ingénierie britannique où il travaillait, demandant une transaction confidentielle. Il a soupçonné l’hameçonnage, et il avait raison de le soupçonner. Puis est venue la partie qui a défait sa prudence. Il s’est joint à un appel vidéo et a vu le directeur financier là, avec des collègues qu’il reconnaissait, tous d’accord pour que le paiement avance.

Il a fait 15 transferts totalisant 200 millions de dollars de Hong Kong, environ 25,6 millions de dollars des États Unis. La police de Hong Kong a dit plus tard que chaque autre personne sur cet appel était fausse, construite à partir de vidéos et d’audios publics du personnel réel. Arup a confirmé en mai 2024 qu’elle était la firme concernée et que de fausses voix et images avaient été utilisées. Aucun système n’avait été violé. Aucun mot de passe n’avait été volé. La vérification était l’appel lui même, le plus vieux contrôle humain de tous, regarder un visage et écouter une voix et décider qu’une personne est présente. Le contrôle a passé, et la personne n’était pas là.

Le contexte élargi

Cet appel est un front dans une course qui court maintenant partout à la fois. Pendant vingt ans, le Web vous a demandé de prouver que vous étiez humain en résolvant un petit casse tête, et il vous a demandé de prouver qu’une photo était réelle en la regardant, et il vous a demandé de prouver qu’une voix était celle de votre patron en l’entendant. Chacune de ces preuves reposait sur un écart entre ce que les gens pouvaient faire facilement et ce que les machines pouvaient faire mal. L’écart s’est fermé des deux côtés. Les machines ont appris à résoudre les casse têtes, à cloner les voix et à porter les visages, pendant que les casse têtes devenaient si difficiles que les gens ont commencé à les échouer à grande échelle.

Les chiffres sur le front des casse têtes sont assez tranchants pour mettre fin à un argument. Des chercheurs de l’Université de Californie à Irvine ont étudié 1 400 participants qui ont résolu 14 000 CAPTCHA entre eux, puis comparé leurs résultats avec des robots construits pour la tâche. Sur le texte déformé, les robots ont obtenu près de 100 pour cent alors que les humains ont obtenu entre 50 et 84 pour cent. Les robots ont terminé en moins d’une seconde. Les humains ont pris jusqu’à 15 secondes. Sur les défis d’images, les robots ont quand même résolu environ 85 pour cent et bougé légèrement plus vite que les humains à côté d’eux.

Lisez ces deux résultats ensemble et l’image s’aiguise. La majorité du trafic pourrait maintenant être automatisée, dit le rapport, et le test installé pour trier ce trafic favorise le côté automatisé. Une porte qui laisse passer les machines vite et fait plisser les yeux aux humains, réessayer et parfois abandonner n’est plus une porte. C’est un péage sur le fait d’être une personne, perçu en secondes et en frustration, pendant que le trafic qu’elle devait arrêter coule à côté d’elle.

Contexte

Le casse tête a eu une vie longue et utile, voilà pourquoi son échec compte. CAPTCHA signifie Completely Automated Public Turing test to tell Computers and Humans Apart, et pendant des années la logique a tenu parce que lire des lettres déformées et repérer des feux de circulation étaient des tâches que les gens faisaient sans réfléchir et que le logiciel faisait mal. Les sites utilisaient le test pour garder les inscriptions, les commentaires, les ventes de billets et les connexions, et pendant un temps le marché était juste. Quelques secondes d’agacement achetaient un Web que les robots ne pouvaient pas inonder à volonté.

Les auteurs de l’étude décrivent ce qui s’est passé ensuite comme un concours qui continuait d’escalader. Chaque nouvelle génération de défi devenait plus étrange et plus difficile, et chaque avance en vision par ordinateur fermait de nouveau la distance. L’auteur principal Andrew Searles a mis la conclusion en termes simples quand le travail a été présenté.

Alors la recherche a continué, dans deux directions à la fois. Une direction vérifie la personne. L’autre vérifie le contenu. Les deux sont maintenant des industries, et les deux demandent une confiance d’un genre différent de celui que le casse tête a jamais demandé.

La route de la personne atteint sa forme la plus audacieuse dans World, le projet fondé par Sam Altman et Alex Blania et dirigé par Tools for Humanity. Son appareil, appelé Orb, balaye l’iris d’un œil et émet un justificatif que le projet appelle World ID, destiné à montrer qu’un humain unique s’est tenu devant l’appareil. L’entreprise rapporte plus de 18 millions de personnes vérifiées dans plus de 160 pays, et des partenaires ont commencé à placer le contrôle dans des applications de rencontres, la signature de documents et les appels vidéo, où un badge peut marquer un participant comme un humain vérifié.

La route du contenu prend le pari opposé. Au lieu de demander qui vous êtes, elle demande d’où vient un fichier. La Coalition for Content Provenance and Authenticity, connue comme C2PA, maintient une norme appelée Content Credentials, un dossier signé avec de la cryptographie qui peut voyager dans une photo ou une vidéo et décrire qui l’a fait, quel outil l’a fait et quelles modifications ont suivi. Des fabricants d’appareils photo y compris Sony, Nikon, Canon et Leica ont livré des appareils qui peuvent signer à la capture, et des plateformes et des firmes d’IA ont commencé à attacher et lire les dossiers. La logique est un renversement de l’ancienne. N’essayez pas de repérer le faux. Signez le réel, et traitez le non signé avec soin.

Perspectives différentes

L’argument de sécurité pour une preuve plus forte n’est pas difficile à faire, et le travailleur d’Arup le fait mieux que n’importe quel fournisseur. Une entreprise qui déplace de l’argent sur la force d’un visage familier a maintenant besoin d’un contrôle que le visage ne peut pas simuler, que ce contrôle soit un rappel à un numéro connu, un mot de code convenu à l’avance, une clé d’accès ou un badge vérifié sur l’appel. Les défenseurs ajoutent que des contrôles en couches, regardant le comportement et les signaux d’appareil en arrière plan plutôt que posant des casse têtes au premier plan, peuvent trier beaucoup de trafic sans punir l’utilisateur du tout. Selon ce point de vue, la course aux armements est simplement la défense qui rattrape, et s’en plaindre pendant que la fraude grimpe est un luxe.

L’argument de vie privée répond que certaines preuves coûtent plus que le casse tête n’a jamais coûté. Un mot de passe peut être changé et une carte peut être annulée. Un iris, non. Les critiques du balayage d’iris demandent ce qui arrive quand une base de données construite sur un trait que vous ne pouvez pas remplacer est violée, copiée ou remise à un gouvernement, et ils notent que l’argumentaire de vente arrive souvent à des endroits où un paiement en jetons signifie plus. Les régulateurs ont agi sur cette inquiétude dans pays après pays. Le Kenya a suspendu l’inscription à World en août 2023 pour des préoccupations de sécurité et de vie privée. L’Espagne a ordonné un arrêt temporaire de la collecte de données en mars 2024. Le Portugal et l’Indonésie ont aussi restreint ou gelé des parties de l’opération, et d’autres autorités ont ouvert des enquêtes. L’entreprise dit que l’Orb convertit un balayage en code et n’a pas besoin de garder l’image brute, une affirmation que les régulateurs ont testée plutôt que simplement acceptée.

Un troisième point de vue vient des gens que les portes excluent par accident. Les casse têtes sont toujours tombés le plus durement sur les utilisateurs avec une mauvaise vision, les utilisateurs sur des connexions lentes et les utilisateurs dont la première langue n’est pas celle à l’écran. Les données d’Irvine ont constaté que les temps de résolution variaient fortement selon l’âge et l’éducation aussi. Chaque défi plus dur visant un robot plus intelligent taxe aussi les humains à la marge, et un Web qui exige un balayage de votre œil ou un passeport dans votre téléphone risque de construire un mur plus haut autour des mêmes gens. Une vérification que seuls les bien équipés peuvent passer n’est pas une preuve d’humanité. C’est une preuve d’équipement.

Tenez les trois points de vue ensemble et un schéma apparaît. Chaque côté a raison sur l’échec qu’il nomme. L’ancienne preuve est brisée. Les nouvelles preuves portent des risques réels. Et ne rien faire laisse le terrain aux faux, qui n’ont besoin d’aucune preuve et ne paient aucun péage à aucune porte.

Pourquoi c’est important

Remarquez ce qui est vraiment échangé dans cette course, parce que ce n’est pas seulement la sécurité. Le casse tête demandait quelques secondes de votre attention et rien sur qui vous étiez. Les remplacements demandent des choses plus durables, un balayage de votre corps, un justificatif dans un portefeuille, un historique signé attaché à chaque photo que vous prenez, un dossier de comportement regardé en arrière plan en tout temps. La preuve devient une condition permanente de la vie en ligne plutôt qu’un moment à une porte. Vous ne la résoudrez pas une fois pour passer. Vous la porterez, la renouvellerez et la présenterez, au travail, à la banque, lors d’un rendez vous et lors d’un appel avec votre propre directeur financier.

Ce changement déplace aussi le pouvoir. Quiconque émet la preuve décide ce qui compte comme une personne pour les services qui l’acceptent, et quiconque contrôle la liste peut révoquer une place sur elle. Un monde où une entreprise détient la principale preuve de personnalité est un monde où une firme privée s’assoit à l’entrée du Web public. Un monde où les gouvernements émettent la preuve soulève l’image miroir de la même inquiétude. L’argument sur la vérification semble technique, plein de normes et de pourcentages, et sous lui se trouve une question politique qu’aucune norme ne peut régler. Qui peut dire que vous êtes réel, et que peut il faire avec ce dire?

Il y a une perte plus tranquille qui court sous la fraude plus bruyante. L’appel Arup a fonctionné parce que voir et entendre suffisaient autrefois, dans un bureau et dans une famille également. On dit maintenant aux grands parents de raccrocher sur une voix qui sonne exactement comme un petit enfant et de rappeler à un numéro de confiance. On dit aux travailleurs de douter d’une réunion à laquelle ils ont assisté de leurs propres yeux. Chaque conseil correct rend la vie quotidienne un peu plus soupçonneuse, un peu plus procédurale, un peu moins humaine au sens simple de faire confiance à vos sens et aux gens devant vous. La course aux armements ne porte pas seulement sur l’argent volé. Elle porte sur la lente réévaluation de la confiance elle même, jusqu’à ce que rien ne soit cru sans un badge, un rappel ou un dossier signé pour l’appuyer.

Réflexion de clôture

L’ère du casse tête s’est terminée avec une ironie trop nette pour la fiction. Le test construit pour distinguer les ordinateurs et les humains les distingue maintenant dans la mauvaise direction, faisant passer les machines à grande vitesse et échouant les gens lentement, un feu de circulation à la fois. Ce qui le remplace sera plus fort, plus étrange et plus intime, un balayage ici, un justificatif là, une signature dans chaque image, jusqu’à ce que prouver que vous êtes une personne devienne une tâche de fond du fait d’être une personne du tout.

Peut être que c’est simplement le coût d’un Web où tout peut être falsifié, et peut être que l’avenir en couches, signé et balayé fonctionne assez bien pour que le péage s’estompe de la notice, comme le casse tête l’a fait autrefois. Mais gardez un fait de l’appel de Hong Kong en vue pendant que les nouvelles portes montent. Le travailleur n’était pas négligent. Il a douté, il a vérifié et il a utilisé le meilleur contrôle que ses sens lui offraient. Le prochain système sera jugé selon qu’il protège une personne prudente un jour ordinaire, pas selon qu’il impressionne un comité. Une preuve qui échoue les prudents est juste un casse tête plus nouveau, attendant que les machines l’apprennent plus vite que nous.

Reporting draws on Hong Kong police statements and CNN reporting on the Arup deepfake case in 2024 with confirmation from Arup, the study by Searles and colleagues at the University of California, Irvine presented in 2023, the Imperva Bad Bot Report published in 2025, public reporting on World and its regulatory history in Kenya, Spain, Portugal, and Indonesia, and C2PA documentation on Content Credentials, checked November 2026.

Sources

• Searles and colleagues, An Empirical Study and Evaluation of Modern CAPTCHAs, University of California, Irvine, 2023: https://ics.uci.edu/2023/09/14/new-findings-on-captchas-attract-worldwide-attention/
• Hong Kong police and CNN reporting on the Arup deepfake fraud, 2024; Imperva Bad Bot Report, 2025; C2PA Content Credentials documentation
• Illustrations: Dirty Static