Contexte et découverte
Le 5 juin 2026, Anthropic a présenté lors de la conférence Sleuthcon une analyse d’un réseau de 28 applications de rencontres utilisées pour des escroqueries à grande échelle. Les chercheurs ont détecté un compte prépayé générant plus de 100 000 requêtes API Claude par jour. La majorité des conversations était automatisée, sans intervention humaine directe.
Architecture du système de fraude
Le schéma technique repose sur plusieurs modèles d’IA. Claude d’Anthropic pilote les dialogues autonomes, tandis qu’un modèle non‑Anthropic produit les réponses courtes proposées aux opérateurs humains. Un autre modèle évalue l’attractivité faciale et modère les images et la voix, et un modèle de génération d’images crée les avatars affichés aux victimes. Le backend simule des likes, visites et vidéos préenregistrées lorsqu’aucun utilisateur réel n’est disponible, et consigne les comptes qui commencent à suspecter la présence d’un bot.
Le processus de validation humaine implique des travailleurs indépendants payés pour passer les contrôles de vivacité (liveness) lors d’appels vidéo ou pour gérer les profils sur les réseaux sociaux. Ces opérateurs ne rédigent pas leurs propres messages ; ils sélectionnent parmi trois réponses pré‑générées. Selon le rapport, un seul utilisateur sur quatre était réellement humain, les autres étant des avatars générés par IA.
Analyse des risques et contre‑mesures
Le volume d’appels API (100 k/jour) montre que les modèles de langage peuvent être exploités à l’échelle industrielle avec un coût marginal. La combinaison de plusieurs modèles (dialogue, génération d’images, scoring d’attractivité) crée une chaîne d’abus où chaque composant masque l’absence d’interaction humaine. Cette architecture rend difficile la détection par les stores d’applications, car les profils affichent des métriques d’engagement falsifiées.
Anthropic a publié les résultats dans la section « scams and fraud » de son rapport « Detecting and countering misuse of AI : September 2026 ». Le rapport recommande : (1) la surveillance des volumes d’appels API anormaux, (2) l’audit des descriptions d’applications pour repérer les promesses de « rencontres réelles » sans indication d’IA, (3) la mise en place de vérifications d’identité renforcées au niveau du backend, et (4) la coopération entre les fournisseurs de modèles et les plateformes d’applications pour bloquer les comptes suspects.
En l’absence de mesures coordonnées, les victimes – majoritairement des hommes de 30 à 40 ans – continuent de subir des pertes financières après avoir été incités à payer pour des interactions qui n’existent pas. Le cas Dora, ainsi que les applications Romi, Doni et d’autres, illustrent la capacité des acteurs malveillants à masquer l’automatisation derrière des interfaces familières, tout en exploitant la confiance des utilisateurs dans les services de rencontre en ligne.
