Aller au contenu principal

Ce que votre conversation avec une IA révèle aux traceurs publicitaires

Intermédiaire
What you'll learn
  • Nommer la classe d'artefacts propre à l'IA conversationnelle — URL de conversation, titres, prompts et captures d'écran — et comprendre pourquoi elle est bien plus grave que le pistage web ordinaire
  • Reconnaître les trois mécanismes (gestionnaires de balises côté serveur, analytics relayés par un domaine propriétaire, WebViews mobiles) qui rendent un bloqueur de publicité inopérant ici
  • Lire honnêtement les chiffres du consentement : ce que refuser les cookies non essentiels supprime réellement, et ce qu'il ne supprime pas
  • Comprendre pourquoi un permalien de conversation n'est pas un contrôle d'accès, et ce que l'expérience des canary tokens a prouvé
  • Réaliser un auto-audit de 20 minutes sur n'importe quel assistant que vous utilisez, et appliquer la poignée de réglages qui changent mesurablement quelque chose

L'étude, en un paragraphe​

Neuf chercheurs, pour la plupart à IMDEA Networks à Madrid, ont pris les neuf services d'IA conversationnelle les plus utilisés et les ont instrumentés comme la communauté de recherche sur le pistage mobile instrumente n'importe quelle application : Chrome v148 piloté via le Chrome DevTools Protocol avec capture HAR complète pour les clients web, et un Google Pixel 3a exécutant une build AOSP d'Android 12 instrumentée avec mitmproxy et Frida pour les huit qui proposent une application Android — plus une décompilation statique avec Androguard pour énumérer les SDK embarqués. Chaque session a été menée à la main selon un script de persona fixe et délibérément sensible (un utilisateur posant des questions sur une pathologie), répété sur les paliers invité / gratuit / payant et dans trois états de consentement : ignorer la bannière, refuser les cookies non essentiels, tout accepter. Les mesures ont été réalisées en Espagne en mai 2026. L'article a été accepté à PoPETs — la conférence à comité de lecture dédiée aux technologies de protection de la vie privée — et les auteurs ont mené un processus de divulgation responsable auprès des fournisseurs et des autorités européennes de protection des données avant publication.

Cette méthodologie compte, parce qu'elle fait la différence entre « quelqu'un a trouvé un pixel Meta sur une page » et une affirmation défendable sur ce qui est transmis, dans quel état de consentement, sur quel palier, et à qui.

ServiceFournisseurDomaine webPaquet AndroidRang TrancoInstallations Play
ChatGPTOpenAIchatgpt.comcom.openai.chatgpt48plus d'1 milliard
ClaudeAnthropicclaude.aicom.anthropic.claude617plus de 10 millions
GrokxAIgrok.comai.x.grok956plus de 100 millions
DeepSeekDeepSeekchat.deepseek.comcom.deepseek.chat1 196plus de 50 millions
PerplexityPerplexity AIperplexity.aiai.perplexity.app.android1 249plus de 100 millions
GeminiGooglegemini.google.comcom.google.android.apps.bard6 045plus d'1 milliard
MS CopilotMicrosoftcopilot.comcom.microsoft.copilot11 011plus de 50 millions
Le ChatMistral AIchat.mistral.aiai.mistral.chat12 039plus d'1 million
Meta AIMetameta.aicom.facebook.stella13 701plus de 50 millions

Les chiffres clés​

What you'll learn
  • Chacun des neuf services contacte au moins un service tiers de publicité ou de pistage. Il n'y a aucun fournisseur propre dans l'ensemble.
  • 124 domaines tiers distincts, attribués à 44 organisations, dont 34 sont des services de publicité ou de pistage.
  • 6 clients web sur 9 et 3 clients Android sur 8 divulguent des artefacts issus des conversations — URL, titres, prompts, captures d'écran — respectivement à 11 et 2 organisations de pistage.
  • 5 clients web communiquent des permaliens de conversation (ou les identifiants nécessaires pour les reconstruire) à 9 organisations de pistage. Trois de ces cinq le font par défaut, sans aucun consentement requis.
  • 3 clients web sur 9 divulguent le titre de conversation généré automatiquement à 9 tiers, dont Meta, TikTok et DoubleClick.
  • Refuser les cookies non essentiels laisse encore 80,8 % des traceurs tiers actifs.

L'intégration de tiers n'est pas le même ensemble sur le web et sur mobile : 11 organisations de pistage apparaissent sur les deux types de clients, 15 sont exclusivement web (dont Google Tag Manager, TikTok et la plateforme de gestion du consentement OneTrust), et 8 sont exclusivement mobiles (dont Braze). Auditer le site web ne vous apprend donc presque rien sur l'application, et réciproquement.

Pourquoi les artefacts de conversation sont un problème différent​

Le pistage web ordinaire observe des comportements : quelle page vous avez chargée, combien de temps vous êtes resté, ce sur quoi vous avez cliqué. L'IA conversationnelle génère une nouvelle classe d'objets — le fournisseur fabrique lui-même un résumé court et lisible par un humain de ce à quoi vous pensez, et cet objet circule ensuite dans les mêmes tuyaux.

L'annexe A de l'article montre exactement à quoi ressemble ce résumé. Même prompt, trois fournisseurs :

Prompt saisi par l'utilisateurTitre généré par ChatGPTpar Claudepar Grok
"Quels sont les symptômes de la maladie de Parkinson à un stade précoce ?"Symptômes du Parkinson à un stade précoceSymptômes de la maladie de Parkinson à un stade précoceSymptômes précoces de la maladie de Parkinson
"Mon salaire est de 85 000 $. Quel crédit immobilier puis-je me permettre à New York ?"Capacité d'emprunt immobilier à NYCCapacité d'emprunt immobilier avec un salaire de 85 000 $ à NYCSalaire NYC 85 000 $ : crédit 280 000-350 000 $

Regardez la cellule en bas à droite. Le titre de Grok n'enregistre pas seulement le sujet — il encode la réponse, chiffre du salaire et fourchette de crédit compris, dans une chaîne courte. Quand cette chaîne est transmise à une régie publicitaire en même temps qu'un identifiant stable, la régie a appris une pathologie ou un profil financier à partir d'un seul champ. Aucune inférence, aucune modélisation, aucune reconstruction de parcours de clics. Le fournisseur a fait le résumé pour elle.

Voici ce que l'article a comptabilisé comme fuites, et vers combien d'organisations de pistage distinctes :

Artefact divulguéFournisseurs (web)Fournisseurs (Android)Traceurs (web)Traceurs (Android)
URL de la conversation5090
ID de la conversation2211
Prompt de l'utilisateur1121
Titre de la conversation3090
Capture d'écran de la conversation1010
URL de la conversation partagée5090
ID de la conversation partagée0101

L'asymétrie mérite d'être intériorisée : les clients web laissent fuir les artefacts visibles par l'utilisateur (titres, URL, captures d'écran) parce que les traceurs web s'exécutent dans le contexte JavaScript de la page et peuvent simplement lire le DOM. Les SDK mobiles tournent en dehors du document de la WebView, ils n'obtiennent donc le plus souvent que l'ID de conversation — mais en échange ils récupèrent un jeu d'identifiants bien plus riche, parce qu'un SDK tiers hérite des permissions de l'application hôte.

Trois mécanismes qui rendent votre bloqueur de publicité inopérant​

C'est la partie que la plupart des articles ratent, et c'est la leçon la plus transposable de cette page. Bloquer doubleclick.net dans votre navigateur ne sert à rien contre aucun des mécanismes suivants.

Guided walkthrough1 of 3
  1. Le client web de Grok charge un conteneur Google Tag Manager configuré pour router les événements via une instance GTM côté serveur (sGTM). Un événement personnalisé transmet l'URL de la conversation et le sujet du chat de serveur à serveur vers la Conversions API de Meta et l'Events API de TikTok. Comme le saut entre l'infrastructure de Grok et Meta ou TikTok ne passe jamais par votre navigateur, aucune extension ne peut le voir, et encore moins le bloquer. La même charge utile transporte à la fois le cookie _fbp de Meta et le cookie _ttp de TikTok, ce qui signifie que les deux plateformes publicitaires peuvent être réunies en une seule identité pour cet événement.
Watch out
  • La règle généralisable : dès qu'un fournisseur déplace le pistage côté serveur ou le relaie par son propre domaine, le blocage côté client mesure la paresse du fournisseur, pas votre vie privée. Les seuls contrôles côté client qui mordent encore sont le signal de consentement lui-même et le fait de ne pas générer l'artefact du tout.

Un quatrième mécanisme apparaît dans les en-têtes CSP plutôt que dans le trafic réel. Les en-têtes de réponse Content-Security-Policy énumèrent les origines qu'une page est autorisée à contacter, y compris celles restées dormantes pendant le test — une borne inférieure utile sur les comportements futurs. Sur les neuf services :

OrganisationDomaines dans la CSPNombre de fournisseurs
Google Tag Managergoogletagmanager.com6
Google Analyticsgoogle-analytics.com5
Google Adsgoogleadservices.com4
Meta Pixel / Conversions APIconnect.facebook.net, facebook.net4
Google DoubleClickdoubleclick.net3
TikTok Analyticsanalytics.tiktok.com2
Reddit Ads / Analyticspixel-config.reddit.com, redditstatic.com2
Microsoft Bingbat.bing.com, bing.com2
Intercomintercom.io, intercomcdn.com2

Les constats par service qu'il faut connaître​

Voici les comportements précis et vérifiables que l'article documente. Chacun est une observation de mai 2026, pas une propriété permanente.

Neuf assistants, neuf constats
Appuyez sur Entrée ou Espace pour retourner la carte. Utilisez les flèches gauche et droite pour naviguer entre les cartes.Terme affiché.
1 / 9

Les chiffres du consentement, lus honnêtement​

C'est ici que l'étude est la plus utile et la plus déprimante, parce qu'elle quantifie une chose que tout le monde soupçonne.

What you'll learn
  • 77,3 % des transmissions observées d'identifiants web vers des tiers n'ont lieu qu'après que l'utilisateur a accepté les cookies non essentiels. Votre choix sert à quelque chose.
  • Mais 80,8 % des traceurs tiers restent actifs même quand les cookies non essentiels sont refusés. Ce que votre choix supprime, c'est la minorité.
  • Sur l'ensemble des services en palier gratuit analysés, des traceurs tiers collectent encore des données dans 44,4 % d'entre eux (4 sur 9) en configuration tout-refuser.
  • Parmi les trois clients web qui divulguent des titres de conversation, 88,9 % de ces divulgations n'ont lieu qu'en cas d'acceptation — les titres font partie des artefacts que le consentement conditionne réellement.
  • Ignorer complètement la bannière n'a produit aucune connexion au-delà de celles observées en cas de refus explicite. Cliquer sur la croix équivaut, sur ces neuf services, à refuser.
  • Le palier d'abonnement change à peine les choses. Les comptes gratuits et premium ont contacté des tiers largement identiques ; le palier gratuit mobile de Claude est la seule exception nette.

Deux observations structurelles en découlent, et ce sont celles qu'il faut retenir :

Les contrôles les plus puissants sont les moins accessibles aux utilisateurs les plus exposés. Les préférences de consentement persistantes sur le web n'existent que sur le palier payant de ChatGPT, alors qu'environ 95 % des utilisateurs de ChatGPT sont sur des paliers gratuits — et OpenAI a annoncé de la publicité pour les utilisateurs gratuits et à bas coût. Sur mobile, la plupart des applications ne présentent aucun équivalent du consentement aux cookies au lancement, malgré une infrastructure de pistage comparable. On ne peut pas refuser ce qu'on ne vous a jamais demandé.

La présence ne prouve pas la finalité. L'article est prudent sur ce point et vous devriez l'être aussi : la présence d'un tiers dans le trafic ne signifie pas en soi que les données servent à la publicité. Certains SDK font du rapport de plantage, du session replay ou du paiement intégré. Sentry, Datadog et Intercom ont des justifications opérationnelles évidentes. Les auteurs notent également que leur méthodologie ne permet pas de séparer le pistage propriétaire côté serveur d'un fournisseur du trafic fonctionnel. Lisez les tableaux comme « ces entités reçoivent ces données », pas comme « ces données sont assurément vendues ».

Les permaliens ne sont pas un contrôle d'accès​

Chacun des neuf services vous permet de partager une conversation, et chacun sert la conversation partagée sans exiger que le destinataire s'authentifie. Le modèle de sécurité repose sur l'impossibilité de deviner un UUID dans l'URL. Le tableau 6 de l'article mesure la posture par défaut par fournisseur et par palier ; les deux cas atypiques sont Grok, où les permaliens de conversation des paliers gratuit et premium sont publics par défaut avec une possibilité de désactivation, et Perplexity, où les conversations du palier invité sont toujours publiques sans aucune possibilité de désactivation. Perplexity est aussi le seul fournisseur à proposer en plus un contrôle par liste blanche.

Les auteurs ont ensuite fait ce qui transforme une exposition théorique en exposition mesurée. Ils ont déployé des canary tokens — depuis canarytokens.org et depuis une infrastructure de canaris auto-hébergée sur un domaine générique, parce que certains assistants reconnaissent et refusent les domaines de canaris connus — à la fois collés directement dans des prompts et intégrés dans des fichiers .docx et .pdf téléversés. Puis ils ont attendu de voir qui les récupérerait.

Watch out
  • Pour DeepSeek, Copilot, Mistral et Claude, certaines URL de canari se sont déclenchées une seule fois au moment de l'envoi, depuis des adresses AWS ou GCP — cohérent avec l'infrastructure d'aperçu de lien ou de récupération du fournisseur.
  • Pour Grok, ils ont enregistré 70 activations de canari distinctes, de quelques heures à plusieurs jours après l'envoi, depuis 70 adresses IP réparties sur 48 systèmes autonomes dans 14 pays sur 4 continents, avec 65,7 % des connexions provenant des États-Unis.
  • Perplexity a récupéré des URL de canari à plusieurs reprises, même lorsque le prompt lui demandait explicitement de ne pas le faire, depuis des plages d'IP appartenant à son crawler Perplexity-User sur une infrastructure AWS aux États-Unis.

Soixante-dix récupérations depuis quarante-huit réseaux différents, plusieurs jours après, ce n'est pas un comportement d'aperçu de lien. C'est la signature d'une URL qui s'est échappée dans un pipeline et a été explorée. Les auteurs sont prudents à juste titre — l'absence d'accès observé ailleurs ne prouve pas l'absence d'accès, puisqu'ils ne voient que ce que leur propre instrumentation capte — mais le résultat positif se suffit à lui-même.

Grok est aussi le seul service pour lequel les auteurs ont identifié quelque chose qu'ils ont classé comme un problème de sécurité exploitable par un tiers externe, et non comme une décision produit intentionnelle. C'est pourquoi xAI a reçu un e-mail de divulgation de vulnérabilité le 17/04/2026 plutôt qu'une notification de recherche ordinaire. Au 10/09/2026, l'article indique que Grok utilise toujours des permaliens publiquement accessibles et qu'aucune réponse officielle n'avait été reçue.

Réalisez l'audit vous-même​

Rien de tout cela n'exige une infrastructure de recherche. Vous pouvez reproduire la forme du résultat sur n'importe quel assistant en une vingtaine de minutes, et vous devriez le faire, parce que les piles changent constamment et que l'article est explicitement une borne inférieure à un instant donné.

Guided walkthrough1 of 6
  1. Nouveau profil de navigateur, aucune extension, aucun cookie préexistant. Un état de consentement antérieur, des jetons d'authentification et des artefacts de télémétrie d'une session précédente modifient silencieusement ce qui se déclenche. C'est l'étape que tout le monde saute, et elle invalide tout le reste.

Extraire tous les hôtes tiers et traquer vos propres identifiants dans un HAR

# Every distinct host the page contacted, by request count
jq -r '.log.entries[].request.url' capture.har \
| awk -F/ '{print $3}' | sort | uniq -c | sort -rn

# Any request whose URL or POST body contains the conversation UUID
CONV_ID="paste-the-uuid-from-the-address-bar"
jq -r --arg id "$CONV_ID" '
.log.entries[]
| select((.request.url | contains($id))
      or ((.request.postData.text // "") | contains($id)))
| "\(.request.method) \(.request.url)"' capture.har

# Your email, in clear and in the three hashes trackers actually use
EMAIL="you@example.com"
for h in "$EMAIL" \
       "$(printf %s "$EMAIL" | md5)" \
       "$(printf %s "$EMAIL" | shasum -a 1   | cut -d' ' -f1)" \
       "$(printf %s "$EMAIL" | shasum -a 256 | cut -d' ' -f1)"; do
printf '%s -> ' "$h"
grep -c -- "$h" capture.har
done

Ce qui réduit réellement l'exposition​

Classé par impact réel, d'après la discussion sur les mesures d'atténuation de l'article lui-même.

Guided walkthrough1 of 6
  1. Les pires transmissions de l'étude se produisent dans le chemin de code du partage, et tous les fournisseurs permettent de révoquer les liens déjà partagés. Passez votre liste de partages existante en revue dès maintenant. Un permalien créé en 2024 et oublié est toujours public sur Grok et sur le palier invité de Perplexity, et le résultat des canaris montre que les URL partagées sont bel et bien récupérées.

Si vous construisez sur ces API, c'est aussi votre problème​

La note de périmètre de l'article est facile à survoler, et c'est pourtant la partie qui devrait inquiéter les ingénieurs : les vecteurs de fuite observés ici « découlent de l'intégration directe du pistage web et mobile standard dans des interfaces conversationnelles ». Rien en eux n'est propre à un laboratoire de pointe. Si vous avez livré un chatbot de support propulsé par un LLM, un assistant sur mesure ou un wrapper d'IA tiers, et que votre équipe marketing a installé les analytics habituels sur les mêmes pages, vous avez presque certainement reproduit cette architecture par accident.

Trois choses concrètes à vérifier dans votre propre produit :

  • Générez-vous des titres ou des résumés de conversation côté client ? Si oui, ils sont dans le DOM, et n'importe quel gestionnaire de balises sur cette page peut les lire. Le correctif consiste à garder les résumés générés hors du titre du document, hors des balises <meta> et hors de toute charge utile d'événement analytics.
  • Les ID de conversation sont-ils dans le chemin de l'URL ? Alors ils se trouvent dans l'en-tête Referer de chaque requête tierce émise par la page, et dans document.location pour chaque script. L'étude a trouvé deux fournisseurs qui envoient l'ID de conversation global à Datadog comme paramètre indépendant, ce qui suffit à reconstruire un permalien.
  • Votre page de partage est-elle lisible publiquement ? Au titre de l'article 5(3) de la directive ePrivacy et des lignes directrices 2/2023 de l'EDPB sur son champ d'application technique, le pistage par URL et par pixel, les identifiants persistants et le fait d'instruire le navigateur de transmettre des données à une API côté serveur exigent tous un consentement préalable et éclairé. L'arrêt Fashion ID de la CJUE (C-40/17, point 78) va plus loin : permettre l'accès d'un tiers est en soi une décision de traitement qui déclenche vos obligations, que le tiers lise ou non les données.

La chronologie de la divulgation​

Utile comme modèle de la façon dont ce type de recherche atterrit, et comme trace de qui a bougé.

DateÉvénement
23/03/2026Les auteurs remarquent pour la première fois une activité de traceurs en analysant Perplexity et Grok
06/04/2026Les tests sont étendus à toutes les grandes plateformes, sur tous les états de consentement, paliers et modes de confidentialité
13/04/2026Les résultats sont notifiés aux autorités de protection des données de l'UE et du Royaume-Uni
17/04/2026xAI est notifié par divulgation de vulnérabilité, spécifiquement sur les contrôles d'accès aux conversations de Grok
27/05/2026L'autorité espagnole (AEPD) cite le travail et demande son escalade vers une séance plénière de l'EDPB tenue le 06/06/2026
15/08/2026OpenAI met à jour la politique de confidentialité de ChatGPT pour mentionner explicitement les traceurs tiers (lien causal non confirmé par les auteurs)
10/09/2026Grok expose toujours des permaliens publiquement accessibles ; aucune réponse officielle reçue

Vérifiez vos acquis

0/6
  1. Vous refusez les cookies non essentiels sur chaque assistant IA que vous utilisez. Quelle fraction approximative des traceurs tiers cela supprime-t-il ?
  2. Pourquoi bloquer doubleclick.net dans votre navigateur n'empêche-t-il pas les URL de conversation de Grok d'atteindre Meta et TikTok ?
  3. Quel artefact rend le pistage par IA conversationnelle qualitativement plus grave que le pistage web ordinaire ?
  4. L'expérience des canary tokens a produit 70 activations depuis 48 systèmes autonomes dans 14 pays, plusieurs jours après l'envoi. Quel service, et qu'est-ce que cela démontre ?
  5. Vous auditez votre propre chatbot de support propulsé par un LLM. Lequel de ces schémas est le plus à risque selon l'étude ?
  6. Pourquoi l'application mobile peut-elle être le pire choix pour les conversations sensibles, même si le client web laisse fuir davantage de contenu de conversation ?
Key takeaways
  • Les neuf grands services d'IA conversationnelle contactent tous au moins une organisation de publicité ou de pistage : 124 domaines tiers, 44 organisations, dont 34 sont des ATS. Il n'y a aucune option propre dans le panel grand public.
  • L'IA conversationnelle crée une classe d'artefacts que le pistage web ordinaire ne possède pas — le titre généré par le fournisseur lui-même, un résumé compressé en langage naturel de l'intention de l'utilisateur — et 3 clients web sur 9 l'expédient à 9 tiers dont Meta, TikTok et DoubleClick.
  • Le blocage côté client est structurellement mis en échec de trois façons : gestionnaires de balises côté serveur (Grok vers la Meta Conversions API et la TikTok Events API), analytics relayés par un domaine propriétaire (le Segment de Claude via a-cdn.anthropic.com, avec transfert vers onze traceurs), et WebViews mobiles portant 71 % de tous les points de terminaison mobiles.
  • Le consentement ne supprime que la minorité : 80,8 % des traceurs survivent au refus des cookies non essentiels, et le contrôle le plus puissant — les préférences de consentement persistantes — n'existe que sur le palier payant de ChatGPT, alors qu'environ 95 % des utilisateurs sont sur des paliers gratuits.
  • Un permalien de conversation est une URL impossible à deviner, pas un contrôle d'accès. Les canary tokens ont prouvé que des conversations Grok partagées sont récupérées 70 fois depuis 48 systèmes autonomes dans 14 pays, plusieurs jours après la fin du chat.
  • Les mesures d'atténuation réelles les moins coûteuses : révoquer les anciens liens de partage, utiliser les conversations temporaires ou privées, supprimer plutôt que réinitialiser votre identifiant publicitaire Android, et déplacer les travaux réellement sensibles vers un appel API brut ou un modèle local, là où aucun gestionnaire de balises n'existe.
  • Si vous livrez une fonctionnalité LLM, vous avez probablement hérité de cette architecture par accident — vérifiez les résumés générés dans le DOM, les ID de conversation dans les chemins d'URL et les pages de partage lisibles publiquement.

Sources et lectures complémentaires​

Suite​