La détection de deepfakes est une stratégie perdante

La détection se mesure sur ce qu’elle attrape. La sécurité se mesure sur ce qui passe. Tant que les attaques restaient grossières, les deux métriques se confondaient : ce qui passait, on finissait par l’attraper. Depuis 2024 elles divergent, et la plupart des dispositifs cyber des entreprises françaises optimisent désormais la mauvaise.

Le piège de la métrique inversée

Un détecteur de deepfake vend un chiffre : « 94 % de détection ». Le chiffre est vrai. Il est aussi sans rapport avec votre exposition réelle, parce que ces 94 % sont calculés sur un échantillon qui mélange amateurs et professionnels. Or la fraude qui vide une trésorerie ne vient jamais d’un amateur.

Posez la question autrement : sur les attaques capables de tromper un directeur financier expérimenté, quel est le taux de détection ? La réponse est documentée, et elle est brutale.

L’étude CSIRO : anatomie d’un effondrement

En mars 2025, des chercheurs du CSIRO, l’agence scientifique nationale australienne, et de l’université Sungkyunkwan ont publié l’analyse de 51 détecteurs de deepfakes, dont seize ont été testés en conditions réelles. Aucun des seize n’a identifié de façon fiable les deepfakes du monde réel. Le papier, SoK: Systematization and Benchmarking of Deepfake Detectors in a Unified Framework, a été accepté à l’IEEE European Symposium on Security and Privacy 2025.

Leur explication tient en une phrase : les détecteurs s’effondrent dès qu’ils sortent de leur corpus d’entraînement. Le détecteur ICT, entraîné sur des visages de célébrités, devient nettement moins efficace sur des visages ordinaires. Sur ceux de vos collaborateurs.

Une mise à jour ne corrigera pas ce défaut, parce qu’il signe une asymétrie structurelle : la génération de faux progresse de façon exponentielle, la détection de façon linéaire. L’écart s’élargit à chaque trimestre. Construire sa défense sur la détection revient à parier que cette courbe va s’inverser, et aucune raison technique ne le laisse penser.

L’effet pervers de la fausse sérénité statistique

Voici le mécanisme qui rend la détection dangereuse plutôt que simplement inefficace. Les mêmes détecteurs qui ratent les deepfakes professionnels brillent sur les cheapfakes, les faux grossiers montés à la va-vite. Ils attrapent l’amateur avec panache. Le tableau de bord se couvre de voyants verts. L’acheteur lit son taux de détection et dort tranquille.

Or l’amateur n’a jamais été la menace. Repérer celui qui ne savait de toute façon pas frauder ne protège pas du professionnel, qui passe sans déclencher la moindre alerte. Chaque cheapfake intercepté renforce la confiance dans un outil aveugle là où ça compte. Vous payez pour acheter votre propre angle mort, et vous le présentez au comité de direction comme un gain de sécurité.

Ce qu’un glaciologue comprend mieux qu’un éditeur de cybersécurité

La paléoclimatologie a affronté exactement ce problème, reconstruire une vérité qu’aucun instrument unique ne peut établir, et l’a résolu il y a soixante ans.

Pour connaître la température d’il y a 100 000 ans, aucun thermomètre n’existe. Le premier réflexe fut de chercher le bon indicateur, le signal unique fiable. Échec : chaque proxy, carottes glaciaires, cernes d’arbres, sédiments marins, pollens, porte ses propres biais. La discipline a alors opéré un renversement méthodologique. Elle a abandonné la quête du signal parfait pour trianguler : on ne fait pas confiance à un substrat, on croise plusieurs sources indépendantes dont les erreurs ne se recouvrent pas. La vérité émerge de la convergence, pas de la pureté d’un capteur.

La sécurité des paiements en est encore à chercher le bon détecteur. Elle pourrait apprendre quelque chose d’un glaciologue : une identité ne s’établit pas par un signal isolé corruptible, mais par recoupement de sources que l’attaquant ne peut pas falsifier simultanément.

Authentifier le vrai plutôt que détecter le faux

D’où le changement de cadre. La détection demande : « ce que je vois est-il faux ? », une question que l’attaquant a tout loisir d’optimiser contre vous. L’authentification demande l’inverse : « cette personne est-elle bien qui elle prétend être ? », une question décidable par sources multiples, à chaque transaction, sans dépendre de la vigilance d’un humain sous pression un vendredi à 17 h 45.

Ce déplacement change le terrain de jeu. On cesse de courir derrière la dernière génération de faux pour ancrer la preuve du vrai. Les outils que vous avez déjà, vérification d’IBAN, filtres anti-phishing, sensibilisation, restent des briques utiles. Aucun ne répond à la question de l’identité du donneur d’ordre à l’instant de la décision. C’est la pièce manquante, pas une couche supplémentaire. Le fonctionnement de Sealfie tient dans ce déplacement.

La dimension que les directions financières découvrent

Jusqu’ici, ce raisonnement relevait du confort intellectuel. Trois arrêts de la Cour de cassation du 19 novembre 2025 (n° 24-17.056, 24-17.780, 24-19.776) l’ont transformé en exposition personnelle.

Leur enseignement : quand un virement frauduleux part parce que la structure d’autorisation interne l’a permis, la banque cesse d’être le filet de sécurité automatique. La responsabilité se déplace vers l’entreprise, et à travers le devoir de vigilance, vers le dirigeant qui a construit ou non le système de contrôle adéquat. Couplé à la directive NIS2, qui engage personnellement les mandataires sociaux sur la gouvernance cyber, le sujet a changé de nature. Ce qui était hier une ligne de budget arbitrée par le RSSI relève aujourd’hui de la responsabilité personnelle du mandataire social.

La question a donc changé de forme. Elle porte désormais sur votre capacité à documenter le dispositif d’authentification en place, et sur sa tenue au regard de l’état de l’art en 2026.

Détecter le mensonge est un métier de procureur. Authentifier la vérité est un métier d’ingénieur

La fraude par identité synthétique ne se gagnera pas au tribunal de l’œil humain, qui a perdu, ni à celui de l’IA de détection, qui perd de plus en plus vite. Elle se gagne en rendant la question « est-ce vraiment lui ? » techniquement décidable, par sources multiples, à chaque virement.

Tant que votre dispositif répond à « ce faux est-il détectable ? », vous jouez la partie que l’attaquant a choisie. Le jour où il répond à « ce donneur d’ordre est-il authentifié ? », vous jouez la vôtre.