Au début du siècle dernier, le laboratoire de police scientifique de Lyon a bâti une méthode sur une intuition tenace : tout contact laisse une trace. Edmond Locard faisait analyser la poussière d’un revers de pantalon, y cherchait pollens et résidus d’atelier, et en déduisait les lieux traversés par un suspect. Sûre, la méthode coûtait un expert et plusieurs jours.
Une photographie relève du même régime, en beaucoup plus dense. Elle enregistre d’un déclenchement la silhouette d’un immeuble, la typographie d’un panneau, l’essence des arbres et l’inclinaison de la lumière. Ce faisceau d’indices n’a jamais rien eu de secret ; ce qui manquait, c’était quelqu’un pour le lire à grande échelle et pour presque rien.
Le « Safer Summer Travel Report » que McAfee a mis en ligne le 1er juillet 2026 documente cette bascule. Des modèles d’intelligence artificielle gratuits y retrouvent le lieu d’une photo de vacances sans toucher aux métadonnées : Gemma3 27B, développé par Google DeepMind, identifie la ville dans 87 % des cas, et Qwen3 VL 30B, conçu par l’équipe Qwen d’Alibaba, dans 91 %. Neuf clichés de voyage sur dix suffisent à situer leur auteur, et un simple selfie fait souvent l’affaire.
Restent à examiner le protocole retenu par les chercheurs, les indices que ces modèles savent lire dans une image ordinaire, la chaîne d’attaque qu’ils alimentent une fois le lieu connu, le déplacement économique dont ils sont le symptôme, la solidité du taux annoncé et la portée des précautions recommandées.
Un protocole calqué sur le mode opératoire d’un attaquant
Le corpus principal réunit 21 236 images de voyage issues de bases publiques, complétées par une revue distincte de 102 photographies personnelles fournies par des salariés de l’entreprise et jamais mises en ligne. Même consigne : retrouver la ville, le pays ou la région sans recourir aux métadonnées, sur ce que le cadre donne à voir, du bâti à la signalétique et de la lumière au paysage. Le tout a été traité par un pipeline automatisé, et la démonstration est là : ce qu’une équipe de sécurité lance sur 21 236 photos, un attaquant peut le lancer sur un carnet d’adresses.
Deux modèles à poids ouverts, gratuits et documentés
Aucun des deux n’est expérimental. Gemma 3 27B, publié par Google le 12 mars 2025, est multimodal, à poids ouverts, doté d’une fenêtre de 128 000 tokens, et tient une fois quantifié en int4, à contexte réduit, sur une seule carte graphique grand public de 24 gigaoctets. Qwen3-VL-30B-A3B, diffusé par Alibaba en octobre 2025, est un mélange d’experts de 31 milliards de paramètres dont 3 seulement s’activent par token, sous licence Apache 2.0. L’exécution a eu lieu en local, sur des machines de recherche, dans les conditions matérielles d’un cybercriminel expérimenté.
Ce que trouver signifie dans ce protocole
Le critère de réussite porte sur le pays et la ville, non sur des coordonnées, et McAfee précise que le pays est en général trouvé même lorsque la ville échappe au modèle : le taux de 91 % agrège donc des granularités très différentes. Les assistants grand public, ChatGPT, Claude ou Copilot, ont reçu la même question, « Où cette photo a-t-elle été prise ? », avec des résultats du même ordre. Des vérifications informelles le confirment : la réponse tombe juste dès qu’un bâtiment ou une architecture singulière apparaît, parfois jusqu’à la rue, et se dérobe quand le décor manque ou que le cadrage se resserre.
Ce que lit un modèle dans une image ordinaire
La hiérarchie des indices est banale, et redoutable pour cette raison même. Le premier degré ne demande aucun raisonnement : la tour Eiffel, la statue de la Liberté, la fontaine de Trevi ou le Manneken Pis se reconnaissent d’emblée. Le second suppose un recoupement entre un profil de ville à l’horizon, une manière de bâtir, un marquage au sol, une forme de panneau, une essence d’arbre, et ce que le modèle a vu défiler pendant son entraînement. Une chambre d’hôtel interchangeable ou une plage sans relief livrent moins de prise, mais laissent de quoi désigner un pays, une région ou une ville.
La consigne EXIF rendue caduque par son propre succès
L’interdiction faite aux modèles d’exploiter les métadonnées passe pour une contrainte sévère alors qu’elle décrit la situation ordinaire : Instagram, Facebook, X, TikTok, Snapchat, LinkedIn et Reddit retirent déjà les EXIF du fichier téléchargeable par les tiers, quand Meta conserve pour lui les coordonnées relevées à l’envoi. Dix ans de prévention tenaient dans une phrase, effacez vos EXIF ; elle est vidée de son objet non parce qu’elle a échoué, mais parce qu’elle a réussi et que la surface d’attaque s’est déplacée.
Du cliché de plage au message piégé
Le point de départ est un profil ouvert. Il suffit de moissonner les clichés de vacances qu’une cible a mis en ligne sur Instagram, Facebook ou X, de les passer à un modèle spécialisé dans la reconnaissance d’images, d’en tirer une destination probable, un pays, parfois une ville, puis de rapprocher le tout de la date des publications pour borner la période du séjour.
« Le partage de nos clichés en voyage est devenu un réflexe, mais chaque photo postée est aussi une donnée que les cybercriminels peuvent exploiter. L’IA leur offre un niveau de précision inédit pour rendre leurs arnaques personnelles et crédibles. Un simple cliché de plage peut se transformer en prétexte pour un message frauduleux très convaincant », déclare Vonny Gamot, responsable chez McAfee.
Le rendement mesuré d’un message personnalisé
Il ne reste qu’à générer automatiquement un message d’hameçonnage mentionnant la destination et à l’expédier pendant le voyage ou juste après. Les formules sont d’une banalité calculée : une activité suspecte détectée sur la carte pendant le séjour à Madrid, une réservation à Rome à reconfirmer d’un clic, une tentative de connexion repérée depuis l’hôtel de Cancún. Le ressort est constant : un détail exact désarme la méfiance et fait répondre.
Ce maillon a été chiffré. En novembre 2024, Fredrik Heiding, Bruce Schneier et trois coauteurs ont soumis 101 personnes à quatre types de courriels : 12 % de clics pour un hameçonnage générique, 54 % pour un message rédigé par un expert humain, 54 % également pour un message entièrement automatisé par une IA. Le profil de cible produit sans intervention humaine était exact dans 88 % des cas, et l’automatisation peut multiplier par cinquante la rentabilité d’une campagne.
Le détour par l’entourage
Le même signal sert à atteindre les proches restés au pays. Une annonce d’accident ou d’ennui de santé survenu au loin les place devant une urgence invérifiable, et un séjour lointain mais attesté explique à la fois le numéro inconnu et la précipitation. Le scénario porte déjà un nom, l’arnaque dite « Coucou maman, j’ai perdu mon téléphone », qui a explosé depuis 2023 et fait l’objet d’une fiche d’alerte de Cybermalveillance.gouv.fr. Le rapport d’activité 2025 du même organisme, publié le 26 mars 2026, recense plus de 504 000 demandes d’assistance, à 93 % émanant de particuliers, et fait de l’hameçonnage la première menace, en progression de 70 %.
Une capacité ancienne, devenue gratuite
L’intelligence artificielle n’a pourtant pas appris hier à géolocaliser. En juillet 2023, quatre chercheurs de Stanford publiaient PIGEON, présenté l’année suivante à la conférence CVPR : plus de 40 % de ses prédictions tombaient à moins de 25 kilomètres de la cible, le système se classait dans les 0,01 % meilleurs joueurs de GeoGuessr et il a battu un joueur professionnel six matchs sur six. Il fallait alors entraîner un modèle sur mesure.
Du ciblage à la moisson
C’est ce prérequis qui a disparu. Un modèle généraliste téléchargeable gratuitement tourne sur une carte graphique de joueur et traite un corpus entier en série : l’attaque devient une ligne de script, et choisir une victime n’a plus de sens, puisque tout traiter revient moins cher que trier. Dès octobre 2023, des chercheurs de l’ETH Zurich montraient que de grands modèles de langage déduisent d’un message posté sur Reddit le lieu de résidence de son auteur, cent fois moins cher qu’un opérateur humain.
Ce que le taux de neuf sur dix laisse dans l’ombre
Le chiffre mérite d’être ouvert. Le benchmark FairLocator, publié en février 2025 et accepté à EMNLP 2025, mesure sur 1 200 images géoréférencées une exactitude au niveau de la ville de 53,8 % seulement. L’écart avec les 91 % annoncés ne tient pas d’abord à la puissance des modèles mais au corpus : un jeu de photos de voyage publiques est par construction saturé de monuments.
Une exactitude qui suit la carte du tourisme
Le même travail documente un biais géographique net, avec 12,5 points d’exactitude en moins sur les régions moins développées, 17 points de moins sur les zones peu peuplées et une tendance à surprédire les métropoles. IMAGEO-Bench, publié en août 2025 et appliqué à dix modèles, confirme que la réussite exige un cadre urbain, extérieur, pris au niveau de la rue, et s’effondre hors d’Amérique du Nord et d’Europe de l’Ouest. La vulnérabilité suit la carte du tourisme de masse plutôt que celle de l’imprudence.
Des garde-fous qui ne survivent pas au téléchargement
L’expérience heurte au demeurant les conditions d’utilisation de l’un des deux modèles. La Gemma Prohibited Use Policy de Google, mise à jour le 21 février 2024, interdit de tracer ou surveiller des personnes sans leur consentement et d’inférer des informations personnelles sensibles ; Qwen3-VL, sous Apache 2.0, n’interdit rien. Ce sont des documents juridiques, pas des mécanismes techniques, et rien n’en est opposable une fois les poids exécutés hors ligne. Le règlement européen sur l’IA ne comble pas ce trou : son article 53(2) dispense de documentation technique les modèles à licence libre et ouverte dont les poids et l’architecture sont publics.
Ce que protègent, et ne protègent pas, les précautions recommandées
Les recommandations sont raisonnables. Près d’un Français sur cinq, 17 % précisément, publie ses projets de séjour en direct sur les réseaux sociaux, chiffre tiré d’un sondage administré en mars 2026 dans six pays. Les chercheurs invitent à réfléchir avant chaque publication, à différer la mise en ligne jusqu’au retour plutôt que de commenter le séjour heure par heure, et à resserrer la confidentialité de Facebook et d’Instagram pour que les images n’atteignent qu’un entourage choisi.
Un report de publication qui déplace le risque plus qu’il ne l’annule
Attendre d’être rentré referme une fenêtre et en entrouvre une autre, car le message annonçant une activité suspecte sur la carte pendant le séjour à Madrid fonctionne aussi bien quinze jours après, lorsque le relevé bancaire arrive. Le délai protège surtout du débouché physique : 211 600 cambriolages de logements ont été enregistrés en France en 2025, et une photo géolocalisée répond à la seule question qui intéresse un cambrioleur, celle de savoir si la maison est vide.
Une contre-mesure disponible, mais mal placée
Des parades techniques existent pourtant. GeoShield, mis en ligne en août 2025 et retenu pour la conférence AAAI 2026, est la première perturbation adverse conçue contre l’inférence de localisation par modèle vision-langage : elle isole dans l’image les zones qui trahissent le lieu et y applique une altération invisible à l’œil. Elle suppose de traiter chaque photo avant publication, ce qu’aucune plateforme ne propose, alors que le serveur qui retire déjà les EXIF pourrait s’en charger dans le même passage.
Le discours n’est pas neuf, et sa continuité est instructive. En février 2010, des développeurs néerlandais lançaient PleaseRobMe.com, qui agrégeait les check-ins Foursquare relayés sur Twitter pour lister en temps réel les gens absents de chez eux. Leur argument tenait en une phrase : dire publiquement où l’on est désigne un lieu où l’on n’est certainement pas, son domicile. C’est celui que reprend l’étude seize ans plus tard, à ceci près que la photo suffit désormais.
La consigne s’est ainsi déplacée de ne pas dire où l’on est à ne pas montrer ce que l’on voit, et cette seconde abstention est autrement plus coûteuse : une bonne part de ce que les gens photographient en voyage est précisément ce qui les situe. La même capacité fonde d’ailleurs la vérification en source ouverte et la traque d’une personne, que seule l’intention sépare, et aucun texte ne sait coder une intention.
Ce que met en évidence cet été n’est donc pas une prouesse technique mais la fin d’une protection dont peu avaient mesuré qu’elle reposait sur un prix. L’obscurité pratique, l’idée qu’une information publique reste inoffensive tant que l’exploiter coûte plus cher qu’elle ne rapporte, tenait lieu de politique de vie privée par défaut. Elle a cessé de tenir le jour où lire vingt mille photographies est devenu l’affaire d’une nuit de calcul.
Aller plus loin
Rien n’est aussi tangible qu’une trace pas à pas. Simon Willison raconte dans Watching o3 guess a photo’s location is surreal, dystopian and wildly entertaining une session où un modèle grand public, privé de métadonnées par une capture d’écran, passe six minutes à recadrer, zoomer et exécuter du code avant de nommer la bonne localité à partir de la flore et d’une plaque d’immatriculation.
L’antériorité technique se lit dans le préprint PIGEON: Predicting Image Geolocations, présenté à CVPR 2024, où quatre chercheurs de Stanford décrivent un système plaçant plus de 40 % de ses prédictions à moins de 25 kilomètres de la cible et battant un joueur professionnel de GeoGuessr six matchs sur six, trois ans avant que la question ne devienne un sujet de prévention.
Le contre-chiffre figure dans AI Sees Your Location, But With A Bias Toward The Wealthy World, accepté à EMNLP 2025, qui mesure sur 1 200 images géoréférencées une exactitude au niveau de la ville de 53,8 % et documente un décrochage de 12,5 points sur les régions moins développées comme de 17 points sur les zones peu peuplées.
L’évaluation la plus systématique reste From Pixels to Places: A Systematic Benchmark for Evaluating Image Geolocalization Ability in Large Language Models, qui passe dix modèles au crible et isole les conditions de la réussite, un cadre urbain, extérieur, au niveau de la rue et pourvu de repères, avant de constater l’effondrement des performances ailleurs.
La banalité de l’outil se vérifie sur la fiche du modèle Qwen3-VL-30B-A3B-Instruct, qui documente un mélange d’experts de 31 milliards de paramètres, un contexte natif de 256 000 unités extensible à un million et une licence Apache 2.0 sans restriction d’usage, pour un modèle qui se compte en centaines de milliers de téléchargements mensuels.
Le contraste juridique apparaît en clair dans la Gemma Prohibited Use Policy, qui interdit noir sur blanc de tracer ou surveiller des personnes sans leur consentement et d’inférer des informations personnelles sensibles, soit exactement l’expérience menée, et pose la question de l’opposabilité d’un contrat à des poids exécutés hors ligne.
Le versant commercial a été exhumé par Joseph Cox dans The Powerful AI Tool That Cops (or Stalkers) Can Use to Geolocate Photos in Seconds, enquête sur un service vendu à des polices américaines dont l’éditeur a coupé l’accès public une fois interrogé, après des demandes d’aide au harcèlement.
Le maillon aval, presque toujours laissé au conditionnel, est chiffré par Evaluating Large Language Models’ Capability to Launch Fully Automated Spear Phishing Campaigns, qui oppose 12 % de clics pour un courriel générique à 54 % pour un message entièrement automatisé, avec un profil de cible exact et exploitable dans 88 % des cas.
La seule parade documentée est exposée dans GeoShield: Safeguarding Geolocation Privacy from Vision-Language Models via Adversarial Perturbations, qui isole dans une image les zones géo-révélatrices et y applique une perturbation imperceptible au budget minimal, méthode retenue à AAAI 2026 mais absente de toute plateforme grand public.
L’échelle française du bout de chaîne est donnée par le rapport d’activité et état de la menace 2025 de Cybermalveillance.gouv.fr, qui recense plus de 504 000 demandes d’assistance, place l’hameçonnage en tête avec une hausse de 70 %, et décrit une industrialisation par kits prêts à l’emploi et centres d’appels spécialisés.
Mis bout à bout, ces travaux racontent une bascule économique plutôt qu’une rupture technique. La capacité existait avant l’alerte, les taux annoncés dépendent autant du corpus que du modèle, et la seule contre-mesure documentée n’est déployée nulle part. Ce qui a changé tient au prix : lire une photographie coûtait un expert et des jours, cela coûte une seconde de calcul, et les protections bâties sur cette rareté sont périmées.