Deepfake.

Les deepfakes s'appuient sur des modèles génératifs — GAN, modèles de diffusion et systèmes neuronaux de clonage vocal — pour échanger des visages, cloner des voix ou fabriquer des scènes entières. Le terme remonte à 2017, lorsqu'un utilisateur de Reddit a diffusé des vidéos à visages échangés ; la technique autoencodeur/GAN associe un encodeur qui compresse un visage à des décodeurs entraînés à reconstruire une cible, tandis que les clones vocaux modernes ne nécessitent que quelques secondes d'audio de référence. La qualité a progressé si vite que des deepfakes vidéo en temps réel ont permis la fraude Arup à Hong Kong en janvier 2024, où les attaquants ont peuplé une visioconférence de collègues falsifiés, dont un faux CFO, et convaincu un employé d'autoriser 15 virements totalisant environ 200 millions de HK$ (≈25 M USD).

Les deepfakes alimentent aussi le vishing, la sextorsion, la désinformation électorale, les images intimes non consenties et le contournement de la vérification d'identité (KYC) via une vidéo synthétique injectée. Les défenses sont multicouches : détection technique (contrôles de liveness/anti-spoofing, classificateurs, et signature de provenance via le standard C2PA Content Credentials de la Coalition for Content Provenance and Authenticity) ; contrôles de processus (rappels hors bande sur un numéro connu, double validation et mots de passe pour les virements importants) ; et cadres juridiques comme le règlement européen sur l'IA (AI Act), dont l'article 50 impose d'étiqueter les contenus générés par IA. La détection seule est fragile et se dégrade à mesure que les générateurs s'améliorent ; les contrôles de processus restent donc la protection la plus fiable.

flowchart LR
  A[Photos/audio de reference<br/>de la cible] --> B[Entrainer GAN /<br/>diffusion / clone vocal]
  B --> C[Video ou voix synthetique]
  C --> D[Visioconference frauduleuse<br/>ou message vocal]
  D --> E{La victime verifie-t-elle<br/>hors bande?}
  E -->|Pas de rappel| F[Fonds vires - fraude reussie]
  E -->|Mot de passe + numero connu| G[Demande rejetee]
  C -.provenance C2PA.-> H[Content Credentials<br/>signale le media synthetique]