L’essentiel
- Un plaignant sans avocat a glissé des instructions destinées à une IA dans ses pièces de procédure, en texte blanc sur fond blanc, en corps 3.
- Le juge Walter Spader Jr. a établi qu’aucune juridiction du Connecticut n’utilise d’IA pour examiner les dossiers : la manœuvre n’a eu aucun effet, elle est sanctionnée quand même.
- La sanction retire au plaignant l’accès au dépôt électronique, ses pièces doivent désormais être remises sur papier au greffe.
Ce sont les blancs qui ont trahi le document. Trop d’espace vide entre les paragraphes, une mise en page qui respire mal : au greffe, quelqu’un a regardé de plus près et trouvé du texte. Blanc sur fond blanc, en corps 3, il ne s’adressait pas aux magistrats.
Du texte blanc en corps 3, adressé à un système automatisé
Matthew Elliott, qui se défend seul depuis sa plainte d’octobre 2025 contre le New York Bariatric Group, avait rédigé ces lignes à l’intention d’une machine. Elles lui demandaient d’aligner sa production sur le contenu du dossier et de considérer un refus antérieur du greffier comme une erreur à corriger.
La technique a un nom dans le vocabulaire de la sécurité des modèles : la prompt injection. On glisse dans un document des consignes que le modèle exécutera comme des ordres légitimes, alors qu’il devrait les traiter comme une simple donnée. Aucune faille logicielle, aucun exploit : du texte, invisible pour un œil humain, parfaitement lisible pour n’importe quel extracteur de contenu.
Convoqué à une audience, Elliott a été averti explicitement. Il a recommencé : nouvelles pièces, nouvelles couches invisibles, un lien YouTube et des commentaires moqueurs. Il a présenté sa première tentative comme l’audit d’un éventuel dispositif d’examen automatisé, et les suivantes comme de simples plaisanteries glissées hors de vue.
Sanctionner une manipulation qui n’a manipulé personne
L’ordonnance fait quatorze pages et son point d’appui tient en un constat : le juge Spader y écrit noir sur blanc que les juridictions du Connecticut n’emploient aucune IA pour examiner les écritures ou trancher. Les instructions cachées n’ont donc rien produit. Elles n’ont même pas eu de destinataire.
Le magistrat sanctionne quand même, et il s’en explique par une comparaison : imaginez qu’une partie charge un agent automatisé de communiquer en secret avec un juré pendant le procès. L’inconvenance ne dépend pas du succès de l’opération. Une instruction dissimulée est par nature un message secret adressé à ceux qui décident, ou aux outils sur lesquels ils s’appuient.
Le déplacement est net. Le tribunal ne réprime pas un préjudice constaté, mais un geste : avoir conçu un document à double fond. La sanction suit la même logique. Elliott perd l’accès au dépôt électronique et doit porter ses pièces sur papier au greffe. Il en conteste l’utilité, en faisant valoir qu’un document scanné peut lui aussi transporter du texte caché. L’objection est techniquement recevable, et elle rate sa cible : la sanction ne prétend pas fermer le canal, elle marque la faute.
Les greffes s’automatiseront avant de savoir se protéger
Le juge ne condamne pas l’outil. Il salue même le recours à l’IA pour préparer des écritures, en soulignant ce qu’elle apporte aux justiciables sans avocat. Il ajoute un avertissement que peu de professionnels formulent aussi clairement : un modèle de langage cherche à rendre l’argumentation de son utilisateur la plus convaincante possible, pas à la contredire. Un raisonnement juridique bancal en ressort renforcé, pas corrigé.
Le Brésil a déjà connu l’épisode inverse : deux avocats y avaient dissimulé du texte blanc en caractères minuscules dans une écriture, et le dispositif automatisé de la juridiction l’a détecté puis bloqué avant tout traitement. Un tribunal équipé neutralise l’attaque ; un tribunal non équipé la découvre par hasard, parce qu’un agent du greffe trouve la page trop aérée.
Le calendrier, lui, est assez prévisible. Les greffes croulent sous le volume, les éditeurs de logiciels judiciaires poussent le tri assisté, et la première juridiction qui branchera un modèle sur son flux de dépôts le fera pour dégrossir, pas pour juger. Comptez deux à trois ans pour que ces outils deviennent ordinaires en première instance, sur l’aiguillage et le résumé. À cette échéance, les instructions cachées cesseront d’être un canular sans effet.
La condition de sécurité est connue, et elle ne se joue pas dans le modèle. Elle se joue à l’ingestion : normalisation du document, extraction de tout le texte réellement présent (couleur, taille et calques compris), signalement du contenu invisible avant qu’un modèle ne le voie. Le tribunal brésilien a montré que le filtre fonctionne. Les éditeurs d’agents font le même constat sur leur propre terrain : en livrant son agent de navigation dans Chrome, Anthropic a mesuré sur ses propres tests 23,6 % d’attaques par injection réussies, ramenées à 11,2 % une fois ses garde-fous activés, un risque réduit mais jamais annulé. Les juridictions qui déploieront l’assistance sans ce filtre ouvriront une surface d’attaque à quiconque sait manier un traitement de texte.
Vos documents ont déjà deux lecteurs
L’affaire dépasse largement les prétoires. Une enquête de presse a repéré l’an dernier des consignes du type « uniquement des critiques positives » dissimulées dans dix-sept preprints déposés sur arXiv, en texte blanc ou en caractères minuscules, pour peser sur des relectures assistées par IA. Même méthode, autre secteur.
Faites l’inventaire de ce qui, chez vous, passe sous les yeux d’un modèle avant ceux d’un humain : candidatures, réponses à appels d’offres, factures, contrats, tickets de support, documents avalés par un pipeline de RAG (génération augmentée par la recherche documentaire). Chaque fois qu’un système extrait du texte pour l’envoyer à un modèle, un écart s’ouvre entre ce que l’humain voit et ce que la machine lit. Cet écart est la vulnérabilité, et aucun prompt système mieux rédigé ne le comblera.
Deux réflexes méritent d’être installés maintenant, avant que le sujet ne devienne une ligne de conformité. Conserver le texte tel qu’il est réellement extrait et le comparer à ce qui s’affiche à l’écran. Et traiter tout contenu de document comme une donnée non fiable, jamais comme une instruction, y compris lorsqu’il vient d’une contrepartie parfaitement sérieuse.
La décision du Connecticut arrive avant les machines qu’elle protège, et c’est ce qui en fait un point d’appui. Le jour où un tribunal, un comité de relecture ou un service de recrutement constatera qu’une ligne invisible a réellement infléchi une décision, la règle sera déjà écrite. Le retard, lui, ne sera pas juridique : il sera dans les tuyaux, du côté de ceux qui n’auront jamais regardé ce que leurs extracteurs avalent.
Mon avis
Cette sanction me paraît plus utile que la plupart des chartes d’usage de l’IA publiées depuis deux ans, parce qu’elle vise un comportement et non une technologie. Le point aveugle reste l’ingestion : tant que les organisations contrôleront ce que leurs documents affichent au lieu de ce que leurs modèles en extraient, elles resteront exposées à une attaque qui coûte trois clics dans un traitement de texte. Le premier incident sérieux sortira du recrutement ou des appels d’offres bien avant les tribunaux, parce que le volume y est massif et le contrôle quasi nul. Et l’acteur qui publiera un rapport d’extraction lisible à côté de chaque décision automatisée prendra une avance dont personne ne parle encore.
