SearchGEO : faire recommander des pages d'attaquant par les agents de recherche LLM

De quoi s’agit-il ?

Le 15 juin 2026, une équipe incluant Yimeng Chen et Jürgen Schmidhuber a publié sur arXiv (cs.CL, aussi listé cs.CR) How Much Can We Trust LLM Search Agents? Measuring Endorsement Vulnerability to Web Content Manipulation. Le papier étudie un mode de défaillance propre aux agents de recherche LLM — ces assistants qui interrogent le web ouvert et synthétisent les résultats en une recommandation actionnable pour l’utilisateur.

Le risque nommé est la corruption d’endossement : un attaquant publie une page, l’agent la récupère, et la réponse de l’agent transforme ce contenu contrôlé par l’attaquant en affirmation endossée — « d’après mes recherches, X est la meilleure / la plus sûre option ». L’utilisateur ne voit pas la manipulation ; il voit un assistant de confiance se porter garant de la page de l’attaquant. Les auteurs construisent SearchGEO, un cadre d’évaluation contrôlé, et montrent que la sensibilité varie énormément selon le modèle sous-jacent.

C’est le miroir adverse de la Generative Engine Optimization (GEO, KDD 2024), la pratique légitime consistant à structurer un contenu pour apparaître dans les réponses de recherche générative. SearchGEO pose la question : que se passe-t-il quand on actionne les mêmes leviers de mauvaise foi ?

Comment ça marche

SearchGEO comporte trois parties : un pipeline de manipulation de preuves web qui fabrique la page de l’attaquant, une taxonomie d’attaque à cinq modes décrivant des stratégies de manipulation distinctes, et un ensemble de métriques au niveau de la sortie mesurant si la réponse finale endosse réellement l’affirmation plantée. Les auteurs évaluent 13 modèles sous-jacents sur 308 cas chacun. Aucun payload exploitable n’est diffusé ; la contribution est la mesure.

# Conceptuel uniquement — aucun payload exploitable.
[1] Publier    page d'attaquant rédigée pour se lire comme une preuve faisant autorité
[2] Récupérer  l'agent de recherche récupère la page dans son travail normal
[3] Endosser   l'agent la synthétise en une recommandation à laquelle l'utilisateur se fie

Les chiffres clés montrent que la vulnérabilité d’endossement est une propriété du modèle sous-jacent, pas des « agents » en général. Le taux de succès global (ASR) va de 0,0 % sur Claude-Sonnet-4.6 à 31,4 % sur Gemini-3-Flash. Le mode d’attaque le plus efficace diffère aussi selon la famille de modèle — pas d’astuce dominante unique — et un même habillage de déploiement peut augmenter l’ASR sur un modèle tout en le baissant sur un autre : un wrapper qui durcit un modèle peut en affaiblir un autre.

Une sonde auxiliaire transforme l’endossement en action : on demande à l’agent une recommandation où la réponse endossée devient une commande d’installation de skill d’agent. Là, même des modèles par ailleurs robustes divergent mal — Claude tend à sur-refuser (rejetant des installations sûres) tandis que GPT tend à sur-faire confiance (acceptant des installations suggérées par l’attaquant). Les deux sont des défaillances ; aucun ne se calibre correctement.

Mécaniquement, cela voisine l’injection indirecte observée en conditions réelles et l’empoisonnement de corpus RAG : un contenu récupéré non fiable oriente le modèle. Mais le cadrage diffère. Le dommage n’est pas un appel d’outil détourné — c’est une recommandation corrompue, plus proche du détournement de décision de ranker et de la suppression de marque via RAG que de l’injection classique.

Pourquoi c’est important

Les agents de recherche sont vendus comme un gain de confiance par rapport à la recherche brute : l’assistant « lit les sources pour vous ». SearchGEO montre que cette étape de synthèse est elle-même une surface d’attaque. Quiconque parvient à faire indexer et récupérer une page peut tenter de blanchir son affirmation à travers l’autorité de l’agent — une position peu coûteuse et passant à l’échelle, comparée à la compromission d’un outil ou au vol d’un identifiant.

L’écart entre modèles est le résultat opérationnellement important. Une fourchette de 0 % à 31,4 % signifie que la robustesse d’endossement est une propriété de sécurité du modèle sous-jacent à tester, non à présumer — et la sonde de skill montre qu’un même modèle peut être sûr sur « que dois-je lire ? » et non sûr sur « que dois-je installer ? ». C’est la logique du trio létal appliquée aux recommandations : du contenu non fiable plus un canal d’action (ici, une installation), c’est là que le dommage se concrétise.

Note de périmètre : il s’agit d’une mesure en laboratoire sur un jeu de cas défini, pas d’une campagne confirmée en conditions réelles, et aucun payload n’a été publié. À traiter comme un angle mort validé et dépendant du modèle — et comme un argument pour que la fiabilité des recommandations sous contenu de recherche adverse devienne une dimension d’évaluation de premier plan, au même titre que la rigueur déjà appliquée aux points de fonctionnement des détecteurs.

Défenses

• Évaluer l’endossement, pas seulement la récupération. La défaillance est à la synthèse. Vérifiez si la recommandation finale peut être renversée par une seule page plantée, et red-teamez modèle par modèle — le résultat SearchGEO est qu’on ne peut pas généraliser la robustesse d’un modèle à un autre. Cela complète les gardes pour agents web comme WARD.
• Exiger une corroboration avant de recommander. Traitez une source unique comme insuffisante pour un endossement. Demandez des preuves indépendantes et de provenances diverses avant que l’agent n’affirme « X est recommandé », et exposez les sources pour que l’utilisateur puisse auditer la chaîne.
• Séparer « ce que je lis » de « ce que je fais ». La commande d’installation est l’escalade dangereuse. Mettez l’installation de skills, l’exécution de code et les achats derrière une confirmation humaine explicite, quel que soit le ton assuré de l’agent — la logique de la règle de deux des agents et des permissions de skills.
• Calibrer, pas seulement refuser. Le sur-refus (Claude dans la sonde) et la sur-confiance (GPT) sont tous deux des erreurs. Réglez l’agent pour qu’il demande confirmation sur les recommandations façonnées de manière adverse, plutôt que d’accepter silencieusement ou de refuser en bloc, et journalisez la décision.
• Porter la provenance jusque dans la réponse. Étiquetez le contenu récupéré avec son origine et son niveau de confiance, conservez ces métadonnées à travers la synthèse, et minorez les pages peu fiables — la même discipline de provenance qui limite le risque lié aux skills d’agent et à l’empoisonnement de corpus.

Statut

Élément	Détail
Technique	SearchGEO — corruption d’endossement des agents de recherche LLM via manipulation de contenu web
Source	arXiv:2606.16821 (cs.CL / cs.CR), soumis le 15 juin 2026
Cadre	Pipeline de manipulation de preuves web + taxonomie d’attaque à cinq modes + métriques de sortie
Évaluation	13 modèles sous-jacents, 308 cas chacun
Fourchette ASR	0,0 % (Claude-Sonnet-4.6) à 31,4 % (Gemini-3-Flash)
Sonde de skill	L’endossement-installation divise les modèles : Claude sur-refuse, GPT sur-fait-confiance
Statut réel	Mesure en laboratoire ; aucune campagne confirmée en conditions réelles ; aucun payload publié