WhatsApp teste la fonction de sécurité Scam Alert
Meta lance en version bêta une nouvelle fonction WhatsApp, appelée Scam Alert, qui utilise l’intelligence artificielle directement sur le téléphone pour identifier les messages qui pourraient faire partie d’une tentative de fraude. La technologie est conçue de manière à ce que le contenu des messages ne quitte pas l’appareil pour le traitement.
Les escroqueries en ligne sont devenues de plus en plus sophistiquées. Des messages imitant des institutions ou des entreprises connues aux techniques d’ingénierie sociale et aux tentatives de manipulation générées à l’aide de l’intelligence artificielle, les attaquants tentent de convaincre les utilisateurs de divulguer des informations, d’accéder à des liens ou d’effectuer des paiements.
Dans ce contexte, WhatsApp teste Scam Alert, une fonction de sécurité optionnelle basée sur un modèle d’apprentissage automatique qui s’exécute localement, sur l’appareil de l’utilisateur. Selon la documentation technique publiée par Meta le 12 août 2026, l’objectif est de fournir un avertissement avant que l’utilisateur n’interagisse avec une possible escroquerie, tout en maintenant les principes du chiffrement de bout en bout.
Qu’est-ce que WhatsApp Scam Alert et comment ça fonctionne ?
Scam Alert est, à ce stade, une fonction optionnelle, disponible dans une version bêta limitée. Après activation, WhatsApp télécharge sur le téléphone un modèle d’apprentissage automatique qui analyse certains messages reçus de personnes ne figurant pas dans la liste de contacts.
Le modèle ne recherche pas simplement certains mots-clés. Meta indique qu’il utilise des signaux linguistiques et la structure de la conversation, réalisant une classification probabiliste basée sur des modèles observés dans des conversations associées à des fraudes. Les données d’entraînement proviennent de conversations d’escroquerie signalées précédemment par les utilisateurs.
Si le système estime qu’il existe une forte probabilité que les messages fassent partie d’une tentative de fraude, l’utilisateur peut recevoir un avertissement dans la conversation. Celui-ci lui offre des options telles que le blocage et le signalement de l’expéditeur ou la poursuite de la conversation.
Il est important de noter que l’avertissement ne constitue pas une preuve absolue que le message est frauduleux. C’est une mesure d’assistance et de prévention, et l’utilisateur garde le contrôle de la décision.
Les messages ne sont pas envoyés à Meta pour analyse
L’une des caractéristiques les plus importantes de Scam Alert est que l’analyse a lieu directement sur le téléphone.
Selon Meta, le modèle d’apprentissage automatique et les données des messages traités pour la classification restent sur l’appareil. Le contenu des messages n’est pas transmis automatiquement à WhatsApp, Meta ou à un tiers pour l’identification des fraudes.
Cet aspect est important car WhatsApp utilise le chiffrement de bout en bout pour les conversations personnelles. Une solution traditionnelle de détection des fraudes pourrait impliquer la transmission des messages aux serveurs pour analyse. Scam Alert tente d’éviter cette approche en déplaçant le traitement sur l’appareil.
Meta définit explicitement trois principes pour cette fonction :
- traitement exclusivement sur l’appareil ;
- pas de signalement automatique ;
- contrôle de l’utilisateur.
La fonction peut être activée ou désactivée par l’utilisateur, et la simple détection d’une éventuelle escroquerie ne déclenche pas la transmission automatique de la conversation à l’entreprise.
Que se passe-t-il si Scam Alert se trompe ?
Comme tout système de classification basé sur l’apprentissage automatique, Scam Alert peut également produire de faux résultats. Un message légitime peut ressembler à un modèle rencontré dans les conversations frauduleuses.
WhatsApp introduit donc un mécanisme par lequel l’utilisateur peut marquer une conversation comme étant fiable, si l’avertissement est jugé incorrect. Dans ce cas, l’avertissement est supprimé, et Scam Alert ne devrait plus signaler cette conversation de la même manière.
Il existe également une option supplémentaire : si l’utilisateur choisit de faire confiance à la conversation, il peut opter pour la transmission à WhatsApp des cinq derniers messages reçus, afin d’améliorer la précision du système. Cette transmission est liée à l’action explicite de l’utilisateur et ne constitue pas un signalement automatique.
Comment les données sont-elles utilisées sans exposer les conversations chiffrées ?
C’est ici que se trouve l’un des composants techniques intéressants du projet. Meta dit qu’elle a besoin de mesurer si Scam Alert fonctionne correctement : à quelle fréquence un avertissement apparaît et ce que font les utilisateurs après son apparition.
Pour améliorer Scam Alert sans collecter le contenu des conversations, Meta utilise deux technologies de protection des données. La première (Confidential Federated Analytics) permet d’analyser les statistiques de manière distribuée et sécurisée, sans que les messages individuels ne soient envoyés à l’entreprise. La seconde (Differential Privacy) ajoute un niveau supplémentaire de protection des données, de sorte que les résultats statistiques ne puissent pas être utilisés pour identifier un utilisateur particulier ou sa conversation.
En pratique, le système ne suit que des indicateurs agrégés, tels que :
- le nombre approximatif d’avertissements générés ;
- les catégories d’actions entreprises par les utilisateurs après l’avertissement.
Ces données sont agrégées, et les mécanismes de confidentialité sont conçus de manière à ce que les informations sur une personne individuelle ne puissent pas être déduites des statistiques transmises. Meta affirme que les agrégats disponibles pour l’entreprise ne contiennent pas d’informations sur un utilisateur individuel.
Pour le traitement de ces statistiques, Meta utilise également des environnements d’exécution sécurisés (Trusted Execution Environments – TEE) et des machines virtuelles confidentielles. L’architecture comprend, entre autres, la vérification du code exécuté et des mécanismes par lesquels les chercheurs peuvent vérifier indépendamment certains composants du système.
Le système empêche de cibler le modèle d’IA vers des personnes spécifiques
L’un des risques intéressants des systèmes d’IA distribués est la possibilité qu’un serveur livre à un utilisateur donné une version différente du modèle.
Meta affirme avoir conçu Scam Alert de manière à ce qu’un modèle spécifique ne puisse pas être délibérément livré à un utilisateur prédéfini.
Les versions du modèle sont enregistrées dans un registre de transparence public, et chaque version est associée à des hachages cryptographiques. Le registre est de type append-only, ce qui signifie que les entrées peuvent être ajoutées, mais pas modifiées ou supprimées ultérieurement.
De plus, les requêtes de téléchargement du modèle utilisent des informations d’identification anonymes et sont transmises via un mécanisme OHTTP qui supprime l’adresse IP de l’utilisateur de la requête vue par le serveur qui livre le modèle.
Un autre élément important est que l’attribution de l’utilisateur à des variantes expérimentales du modèle se fait localement, sur l’appareil, de manière aléatoire, et non par une décision prise par le serveur pour une personne identifiée.
Les utilisateurs et les chercheurs peuvent vérifier quel modèle est en cours d’exécution
Scam Alert introduit également une composante de vérifiabilité.
Meta a l’intention de publier les informations nécessaires pour vérifier l’intégrité des modèles d’IA. Sur l’appareil, les utilisateurs peuvent activer des journaux de transparence qui indiquent quels messages ont été analysés, le résultat de l’analyse et la version du modèle utilisé.
Dans WhatsApp, les informations sont accessibles via Compte > Demander des informations > Activité d’alerte aux escroqueries, selon la documentation technique publiée par Meta.
En parallèle, les chercheurs en sécurité sont impliqués via le programme Bug Bounty. Meta affirme leur donner accès aux composants pertinents pour vérifier si les messages restent sur l’appareil et si le modèle a bien l’objectif déclaré de détection des escroqueries.
Quand Scam Alert sera-t-il disponible pour tous les utilisateurs de WhatsApp ?
À l’heure actuelle, il n’y a pas encore de date de lancement officielle.
Meta décrit Scam Alert comme une fonction en version bêta limitée et précise que le système sera testé et amélioré avant sa disponibilité à grande échelle. L’entreprise collabore également avec des chercheurs de la communauté Bug Bounty pour identifier les problèmes de sécurité, de confidentialité et de comportement du modèle.
Par conséquent, les utilisateurs de WhatsApp ne devraient pas supposer que la fonction est déjà disponible sur tous les téléphones ou dans toutes les régions.
Pourquoi cette approche est-elle importante ?
Scam Alert montre une direction intéressante pour la sécurité des applications de messagerie : l’utilisation de l’IA pour la protection sans transformer les conversations privées en une source centralisée de données pour l’analyse.
Selon BleepingComputer, WhatsApp compte plus de 3 milliards d’utilisateurs dans plus de 180 pays, ce qui signifie que tout mécanisme de prévention de la fraude mis en œuvre au niveau de la plateforme peut avoir un impact significatif.
Dans le même temps, les utilisateurs doivent comprendre que Scam Alert ne remplace pas l’attention personnelle. Un modèle d’IA peut identifier des modèles et avertir de conversations suspectes, mais il ne peut garantir que chaque message frauduleux sera détecté.
La règle de base reste la même : ne transmettez pas de codes d’authentification, de mots de passe, de données bancaires ou d’autres informations sensibles simplement parce qu’un expéditeur prétend représenter une banque, une entreprise, un ami ou une institution.
Conclusion
WhatsApp Scam Alert est une tentative de combiner la détection automatique des fraudes avec la protection de la confidentialité. Le modèle d’apprentissage automatique s’exécute localement, les messages ne sont pas automatiquement envoyés à Meta pour classification, et l’utilisateur décide si un avertissement est correct et s’il souhaite signaler la conversation.
De plus, Meta introduit des mécanismes de transparence, des registres publics pour les versions des modèles, une vérification cryptographique et des tests par des chercheurs externes.
Pour l’utilisateur ordinaire, le bénéfice est simple : si la fonction atteint un lancement complet et que le modèle s’avère suffisamment précis, WhatsApp pourrait offrir une couche de protection supplémentaire contre les messages d’escroquerie, sans que l’analyse des conversations ne nécessite de renoncer au chiffrement de bout en bout.
Cependant, pour l’instant, Scam Alert doit être considéré comme un système en cours de test, et non comme une garantie contre les fraudes. La défense la plus efficace reste la combinaison de la technologie de sécurité, de la mise à jour de l’application et de la capacité de l’utilisateur à reconnaître les signaux d’une tentative de fraude.
Source: engineering.fb.com
