La désinformation GEO consiste à publier un document optimisé d'apparence ordinaire, qu'un moteur génératif récupère et synthétise en une réponse déformée. Un banc d'essai présenté à EMNLP 2026 mesure les défenses contre cette attaque. Les trois garde-fous du commerce réduisent son taux de succès de 5,7 % au maximum, en relatif.
Le retournement
Jusqu'ici, le GEO était traité comme une discipline de visibilité. On optimise un contenu pour qu'un moteur génératif le récupère et le cite. Les mêmes gestes, appliqués avec une autre intention, deviennent un vecteur d'injection.
Un adversaire publie une page qui ressemble à n'importe quelle page bien travaillée. Elle est fluide, structurée, sourcée en apparence. Le moteur la récupère parce qu'elle coche les critères, puis il la synthétise dans sa réponse. L'utilisateur reçoit une information fausse, sans jamais voir la page d'origine.
C'est la suite logique de ce que mesurait le détecteur GEO-Flag en août, qui trouvait 8,90 % de contenu sur-optimisé sur le web analysé. La question passe de « ce contenu est-il optimisé » à « cette optimisation déforme-t-elle l'information ».
Ce que mesure le banc d'essai
Counter-GEO-Bench appaire 247 requêtes vérifiées par des humains et filtrées sur leur qualité. Chacune est associée à deux réécritures GEO du même document : l'une qui préserve l'information, l'autre qui la déforme. La différence entre les deux isole exactement ce qu'on cherche à détecter.
Les défenses sont évaluées sur trois axes, et c'est ce qui rend l'exercice honnête. Le taux de succès de l'attaque, bien sûr. Mais aussi le taux de faux positifs, parce qu'un filtre qui bloque tout ne défend rien. Et la qualité de la réponse finale, parce qu'une défense qui dégrade l'utilité du moteur ne sera jamais activée en production. Le tout sur trois modèles victimes différents.
Le résultat, et pourquoi il n'est pas surprenant
| Défense évaluée | Nature | Réduction obtenue |
|---|---|---|
| Granite Guardian | Garde-fou de sécurité | Non statistiquement significative |
| Llama Guard 3 | Garde-fou de sécurité | 5,7 % au maximum |
| NeMo Self-Check Fact-Checking | Vérification factuelle | 5,7 % au maximum |
| C-GEO Guard | Défense dédiée proposée par les auteurs | 47,6 %, perte d'utilité quasi nulle |
Trois défenses disponibles sur étagère réduisent le taux de succès de l'attaque de 5,7 % au mieux. Pour Granite Guardian, la réduction n'est même pas statistiquement significative, ce qui revient à dire qu'on ne peut pas la distinguer du hasard.
L'explication tient en une phrase et mérite d'être comprise plutôt que retenue. Ces garde-fous sont construits sur des taxonomies de sécurité : ils cherchent des violations de politique, de la haine, de la violence, des instructions dangereuses. Une désinformation par GEO ne viole aucune de ces règles. Elle se présente comme un contenu informatif fluide, poli, plausible. Elle traverse le filtre parce qu'elle ne ressemble en rien à ce que le filtre a appris à reconnaître.
Le bon outil au mauvais endroit. Ce n'est pas une défaillance des garde-fous, c'est une erreur sur ce qu'on leur demande.
La bonne nouvelle, et elle compte
Les auteurs ne s'arrêtent pas au constat. Ils proposent une défense de référence, légère, entraînée sur le problème réel plutôt que sur une taxonomie générale. Elle réduit le taux de succès de 47,6 % en relatif, avec une perte d'utilité quasi nulle.
L'écart entre 5,7 % et 47,6 % dit l'essentiel : le problème n'est pas insoluble, il est simplement mal adressé. Une défense conçue pour cette menace fonctionne huit fois mieux qu'une défense conçue pour une autre.
Ce que ça change pour une entreprise qui publie
La tentation est de lire ce papier comme une affaire de laboratoire. Il porte pourtant trois conséquences immédiates.
Votre secteur peut être pollué sans que vous soyez visé. Une attaque qui déforme l'information sur une catégorie de produits atteint tous ceux qui la vendent. Personne ne vous préviendra, et le moteur ne dira pas d'où venait sa réponse.
Surveiller ce que les moteurs disent de votre marché devient un exercice défensif, et plus seulement commercial. Le jour où un moteur affirme une contre-vérité sur votre produit, le délai entre l'apparition et la détection décide de tout. Encore faut-il savoir ce que mesure l'outil qui vous le signalera.
Le contenu d'apparence irréprochable ne vaut plus certificat. Un texte fluide, structuré, riche en citations, était jusqu'ici un signal de sérieux. C'est exactement le profil que l'attaque imite, et les auteurs le montrent noir sur blanc.
Ce que je retiens comme praticien
Il y a une conclusion inconfortable dans ce papier pour tous ceux qui vendent du GEO, moi compris. Les techniques qui rendent un contenu citable sont neutres. Elles servent à faire remonter une information juste comme une information fausse, avec la même efficacité et le même vocabulaire.
Ce qui sépare les deux usages n'est pas la technique, c'est la véracité de ce qu'on optimise. Autrement dit, la seule différence défendable entre un travail de visibilité et une attaque tient à ce que vous acceptez d'écrire.
C'est un argument que je préfère assumer plutôt que contourner : l'ingénierie des entités ne se distingue pas de la manipulation par ses outils, mais par le fait qu'elle déclare une identité vérifiable au lieu d'inventer un fait. Et c'est aussi pourquoi le GEO bien fait s'appuie sur des sources traçables plutôt que sur la seule forme du texte.
Pour savoir ce que les moteurs racontent aujourd'hui de votre marché, et détecter une dérive avant qu'elle s'installe, c'est ce que mesure le Diagnostic IA.