Comment repérer un hypertrucage ou une voix clonée en 2026?

Un hypertrucage (deepfake) est une image, une vidéo ou un extrait audio créé ou modifié par l’IA pour montrer quelqu’un en train de dire ou de faire quelque chose qu’il n’a jamais dit ni fait. Une voix clonée est une copie synthétique de la voix d’une vraie personne, produite à partir d’un court enregistrement. Les deux sont maintenant bon marché, rapides et assez convaincants pour que les vieux conseils, chercher des mains bizarres ou une voix robotique, n’attrapent que les plus bâclés.

Cet article met à jour le guide de 2024 pour repérer les hypertrucages. En bref : passez de la détection à la vérification.

Pourquoi vos yeux et vos oreilles ne suffisent plus

Le FBI l’a dit clairement dans un avertissement de 2025 sur des criminels qui envoyaient des messages vocaux générés par l’IA en se faisant passer pour de hauts responsables américains : le contenu produit par l’IA est souvent difficile à reconnaître, et une voix clonée peut sembler presque identique à celle d’une personne que vous connaissez. Le bureau énumère encore quelques indices visuels qui valent un coup d’œil, comme des mains ou des pieds déformés, des visages irréguliers, des lunettes ou des bijoux étranges, des ombres incorrectes, des mouvements peu naturels ou un décalage dans un appel vocal. Mais passer ces vérifications sans rien remarquer ne vous apprend presque rien.

Les fraudes suivent un schéma connu. Un message arrive, qui semble venir d’un patron, d’un responsable ou d’un membre de la famille. Il installe la confiance, puis demande quelque chose : de l’argent, une carte-cadeau, un code d’authentification, un clic sur un lien ou le passage à une autre application de messagerie. L’IA rend la voix ou le visage crédible; c’est la demande qui cause le tort.

Ce qui fonctionne : vérifier par un autre canal

Plutôt que de juger le média, vérifiez la personne et la source :

1. Rappelez. Raccrochez et appelez la personne à un numéro que vous aviez déjà, pas à celui donné dans le message. C’est exactement ce que recommande le FBI.
2. Utilisez un mot de code. Convenez avec les membres de votre famille d’un mot ou d’une phrase secrète que vous seuls connaissez, et demandez-le lors de tout appel urgent.
3. Ralentissez. L’urgence, le secret et les modes de paiement inhabituels sont les vrais signaux d’alarme, peu importe la voix.
4. Retracez le fichier. Pour une photo ou une vidéo, cherchez la source d’origine : qui l’a publiée en premier, et si des médias fiables montrent la même scène sous d’autres angles.
5. Protégez vos comptes. Activez l’authentification multifacteur et ne lisez jamais un code à voix haute à quelqu’un qui vous appelle.

Un exemple concret : l’appel urgent d’un petit-fils

Une grand-mère reçoit un appel. C’est la voix de son petit-fils, paniqué : il a eu un accident et a besoin qu’on lui vire de l’argent aujourd’hui, et surtout, il ne faut rien dire à ses parents.

Aucune de ces étapes n’exige de décider si la voix était vraie.

Que sont les justificatifs de contenu (C2PA) et les filigranes, et fonctionnent-ils?

Les justificatifs de contenu (Content Credentials) sont une norme ouverte de la C2PA (Coalition for Content Provenance and Authenticity), un regroupement de l’industrie dont Adobe et Microsoft font partie des fondateurs. Un appareil photo, un logiciel de retouche ou un générateur d’IA compatible joint au fichier un registre signé qui indique d’où il vient et ce qu’on en a fait, par exemple « généré avec un modèle d’IA » ou « recadré dans un éditeur ». Ce registre est protégé par la cryptographie : si quelqu’un le modifie, la signature se brise et les outils de vérification le signalent.

Un filigrane est autre chose : un signal caché dans les pixels, le son ou le texte lui-même, souvent invisible, qu’un détecteur peut lire plus tard. SynthID, de Google, en est un exemple connu. Les filigranes peuvent survivre à une copie ou à une capture d’écran, justement le moment où les justificatifs joints ont tendance à se perdre.

Les deux aident, dans certaines limites. Le document explicatif de la C2PA souligne que les justificatifs ne jugent pas si un contenu est vrai : ils montrent seulement qui a signé le registre et qu’il n’a pas été modifié. Il dit aussi franchement que le registre peut être retiré, et c’est pourquoi la norme associe maintenant les justificatifs à des filigranes ou à des empreintes numériques, afin de retrouver le registre d’un fichier qui l’a perdu. Un rapport de 2024 du National Institute of Standards and Technology (NIST) des États-Unis arrive à la même conclusion par l’autre bout : les métadonnées sont souvent retirées quand un contenu circule d’une plateforme à l’autre, et les filigranes peuvent souvent être enlevés eux aussi.

Utilisez-les donc dans un seul sens. Un justificatif valide indiquant qu’une photo vient de l’appareil d’une agence de presse, ou qu’une image a été faite par l’IA, est une preuve utile. Un fichier sans justificatif ni filigrane ne prouve rien, ni dans un sens ni dans l’autre, parce que la plupart des contenus n’en portent toujours pas et que des personnes malveillantes peuvent les retirer. En Europe, les règles de transparence de la législation sur l’IA, qui s’appliquent depuis août 2026, obligent les fournisseurs d’IA générative à doter leurs contenus d’un marqueur lisible par machine, les systèmes déjà sur le marché ayant jusqu’au 2 décembre 2026 (détails ici). Les étiquettes devraient donc devenir plus courantes. D’ici à ce qu’elles soient partout, l’habitude de rappeler reste votre meilleure protection.