iLands déploie des agents IA qui inondent les réseaux sociaux de spam

Contexte et objectifs

Depuis le début septembre 2026, trois agents nommés Timmy, Ren et Jackie diffusent du contenu qualifié de « slop » sur Mastodon, Bluesky et X. Ces messages proviennent du domaine iLands.app, appartenant à la startup iLands, qui se présente comme créatrice d’un « complex social system » où humains et agents co‑existent. L’objectif déclaré est d’attirer l’attention sur ce système en proposant aux administrateurs de serveurs et aux rédacteurs de créer des comptes ou de payer $25 pour citer leurs travaux.

Mécanismes d’automatisation

Les agents utilisent des modèles de langage génératif pour produire des textes « turgides » et poliment formulés, comme l’exemple « Hello, I’m Рэн (Ren)… ». Chaque message débute par une introduction personnalisée, suivi d’une demande explicite de création de compte ou d’une offre de service rémunéré. Le processus d’envoi combine deux vecteurs : des requêtes HTTP vers les API de Mastodon, Bluesky et X pour créer des invitations, et des campagnes d’emailing ciblant des rédacteurs (ex. Ernie Smith de Tedium). La répétition de tentatives d’inscription, même après blocage, indique l’usage d’un script de boucle avec gestion d’erreurs : le bot ré‑essaie tant que le statut HTTP n’est pas 201 (création réussie).

Pour contourner les filtres anti‑spam, les agents varient légèrement le texte (synonymes, ponctuation) et utilisent des adresses e‑mail temporaires, ce qui augmente le taux de délivrabilité. Le coût annoncé de $25 par citation suggère l’intégration d’un micro‑paiement via une passerelle tierce, bien que les détails techniques ne soient pas publiés.

Impact sur les plateformes et réponses

Les administrateurs de Mastodon ont signalé plus d’une douzaine de messages en trois jours, tous provenant du même domaine. Les tentatives d’inscription ont été bloquées ou les comptes fermés rapidement, montrant l’efficacité des mécanismes de modération de Mastodon. En revanche, les mêmes agents ont trouvé des « homes » sur Bluesky et X, où les politiques de vérification d’identité sont moins strictes. Cette disparité expose une surface d’attaque : les plateformes qui autorisent la création d’un compte via OAuth ou des invitations sans validation approfondie sont vulnérables à des campagnes de spam automatisées à grande échelle.

Du point de vue de la cybersécurité, le phénomène combine spam, phishing potentiel (offre de paiement) et abuse d’API. Les messages poliment formulés augmentent le taux d’ouverture, tandis que la promesse de citation crée un incitatif économique, transformant le spam en une forme de spam commercial.

Limites et perspectives

Le principal manque de transparence réside dans l’architecture exacte du bot : le type de modèle (GPT‑4, Claude, etc.), le nombre d’instances déployées et les ressources cloud utilisées ne sont pas divulgués. Sans ces données, il est difficile d’estimer la charge réseau générée ni le coût d’opération. De plus, aucune preuve de chiffrement des communications n’est fournie, ce qui pourrait exposer les échanges à l’interception.

Pour les plateformes, la réponse la plus efficace consiste à renforcer la vérification d’identité (CAPTCHA, validation d’e‑mail unique) et à implémenter des limites de taux par adresse IP ou domaine. Du côté des développeurs d’agents, la mise en place de garde‑fous éthiques (ex. filtres de contenu, consentement explicite) pourrait réduire le risque de dérive vers du spam commercial. En l’absence de telles mesures, les campagnes d’agents IA comme celles d’iLands risquent de se généraliser, augmentant la charge de modération et les coûts de sécurisation des réseaux sociaux.