Les domaines hallucinés par les assistants d’IA forment un nouveau terrain de chasse pour les attaquants. Demandez à un modèle de langage l’adresse du portail de facturation d’une grande marque : il en cite une, avec assurance. Or, dans plus d’un tiers des cas mesurés par les chercheurs d’Unit 42, la division de recherche de Palo Alto Networks, ce domaine n’existe pas.
Leur étude, publiée le 30 juin 2026, baptise le phénomène « phantom squatting ». Un attaquant enregistre le domaine inventé, puis laisse le modèle lui envoyer les victimes.
Ce que mesure l’étude d’Unit 42
Les chercheurs ont analysé 913 marques mondiales. Ils ont exécuté 685 339 requêtes sur deux modèles de langage, à trois réglages de température. Ils ont ainsi obtenu 2,1 millions d’adresses web, dont 809 455 pointent vers des domaines inexistants, soit 37,28 %.
Plus inquiétant encore, 13 229 adresses générées étaient déjà classées malveillantes. Les logiciels malveillants dominent (67,2 %), devant l’hameçonnage (16,2 %). Les serveurs de commande et de contrôle des attaquants représentent 3 % de ces adresses.
Après regroupement, environ 250 000 domaines inventés restent libres à l’enregistrement. Chacun constitue une occasion pour un attaquant.
Le phantom squatting, étape par étape
Unit 42 décrit un cycle en quatre phases. D’abord, l’attaquant interroge le modèle pour cartographier les domaines qu’il invente à propos d’une marque. Ensuite, il enregistre ceux qui reviennent le plus souvent et y installe un contenu malveillant. Le modèle lui amène alors les victimes, puisqu’il recommande l’adresse avec le même aplomb que les autres. Enfin, le domaine échappe aux protections habituelles.
Un domaine neuf n’a en effet aucun historique, aucune réputation et aucune entrée en liste noire. Les filtres classiques le laissent donc passer. Les chercheurs ont tout de même repéré ces domaines entre 18 et 51 jours avant leur enregistrement par un attaquant. De plus, les modèles inventent ces domaines même avec une température basse de 0,1, le réglage le plus prévisible.
Le cas « Montana Empire » montre la boucle complète. Un attaquant a construit ce kit d’hameçonnage avec un assistant de programmation, en imitant la place de marché d’un service postal. Il l’a déployé le 31 mars 2026 sur un domaine que le dispositif d’Unit 42 signalait comme cible à haut risque depuis 23 jours.
Le kit interceptait les cartes bancaires et les virements, avec des IBAN changés à la demande par un robot de messagerie. Il collectait aussi les données de pièces d’identité.
Domaines hallucinés : pourquoi le RGPD est concerné
Les faux portails collectent des données de paiement et des pièces d’identité. Les clients piégés subissent donc un préjudice direct, avec un risque d’usurpation d’identité.
Pour la marque imitée, la situation est différente. Les articles 33 et 34 du RGPD visent les violations des données qu’elle traite elle-même. Un faux site tenu par un tiers ne relève donc pas forcément de ces articles. Informez toutefois rapidement vos clients dès que vous apprenez qu’une partie d’entre eux a été piégée : ils doivent faire opposition et surveiller leurs comptes.
Le point le plus structurant concerne l’article 32, qui impose des mesures de sécurité adaptées au risque. Si vos équipes demandent à un assistant d’IA l’adresse d’une ressource interne ou d’une interface de programmation, votre chaîne logicielle comprend désormais un composant qui invente des adresses.
Le risque grimpe avec les agents autonomes. Un agent qui récupère une adresse et traite la réponse peut transmettre des secrets ou exécuter des instructions hostiles, sans décision humaine. Si une telle chaîne aboutit à une fuite de données, l’article 33 s’applique comme pour toute autre violation. Sur ce sujet, lisez notre article sur ce que le DPO doit tracer sur les agents d’IA.
Les parades à mettre en place
Sondez d’abord vos propres marques. Demandez aux principaux assistants les adresses de vos services et notez celles qui n’existent pas. Surveillez ensuite les enregistrements de ces domaines.
Réservez à titre défensif les domaines inventés le plus régulièrement, en priorité ceux qui reviennent même avec une température basse.
Interdisez à vos agents autonomes de suivre une adresse absente d’une liste d’autorisation. Journalisez les tentatives bloquées : elles révèlent les hallucinations du modèle.
Inscrivez enfin dans votre charte informatique une règle simple : aucune adresse fournie par un assistant d’IA ne s’ouvre sans vérification indépendante. Pour rédiger cette règle, inspirez-vous de notre article sur la charte IA en entreprise. Ensuite, intégrez-la à vos sensibilisations, par exemple avec les vidéos de Focus RGPD, et à l’analyse d’impact des traitements qui recourent à l’IA générative.
Sources
Les chiffres, le cycle d’attaque et le cas Montana Empire viennent de l’étude d’Unit 42 publiée le 30 juin 2026, Phantom Squatting: AI-Hallucinated Domains as a Software Supply Chain Vector.
Les articles 32, 33 et 34 cités figurent dans le règlement (UE) 2016/679.
Questions fréquentes
Qu’est-ce que le phantom squatting ?
Le phantom squatting consiste à enregistrer un domaine inventé par un modèle d’IA pour une marque, puis à y installer un site malveillant.
Le modèle continue de recommander l’adresse et amène ainsi les victimes vers le piège.
Pourquoi une IA invente-t-elle des adresses web ?
Un modèle de langage produit l’adresse la plus plausible d’après ses données d’apprentissage, sans vérifier qu’elle existe.
Selon Unit 42, plus d’un tiers des adresses générées dans l’étude renvoyaient vers des domaines inexistants.
Comment vérifier une adresse donnée par ChatGPT ou un autre assistant ?
Ne cliquez pas : retrouvez l’adresse officielle par une source indépendante, comme le site déjà connu de l’organisme, un courrier ou votre espace client.
Saisissez ensuite l’adresse vous-même dans le navigateur.
Une marque imitée sur un domaine halluciné doit-elle notifier la CNIL ?
Pas forcément, car les articles 33 et 34 du RGPD visent les violations des données que la marque traite elle-même.
Elle a toutefois intérêt à prévenir rapidement les clients piégés pour limiter le préjudice.
Comment protéger un agent d’IA contre les domaines hallucinés ?
Limitez l’agent à une liste d’adresses autorisées et bloquez toutes les autres.
Journalisez les tentatives refusées : elles signalent les domaines que le modèle invente et que vous pouvez réserver à titre défensif.
