Votre procédure KYC a été conçue pour contrer les attaques humaines. Désormais, l'attaquant est une machine. Il s'agit de la vérification native par IA.

Imaginez une intégration parfaite. Le selfie est impeccable et le visage se tourne comme demandé. La page photo du passeport est propre et tous les champs sont remplis. L'intégration a été déployée en un après-midi et n'a jamais généré d'erreur. Le compte est approuvé en moins d'une minute.

Imaginons maintenant que personne n'ait rien fait de tout cela. Le visage a été généré. L'image du document a été générée pour correspondre. La vidéo n'a jamais été filmée : elle a été transmise à l'application par un logiciel se faisant passer pour une caméra. Et l'intégration qui a validé cette transmission a été écrite par un agent de programmation qui a deviné deux noms de champs et a considéré un délai d'attente comme une réussite.

Il s'agit d'un schéma récurrent, et non d'un incident précis. Cependant, chaque aspect est documenté, et la plupart des mécanismes de vérification ont été conçus avant même que ce scénario ne soit possible. La vérification native de l'IA est ce que l'on construit en partant de ce principe.

Trois choses ont changé en même temps

L'attaquant. En novembre 2024, l'unité de lutte contre la criminalité financière du Trésor américain a publié une alerte concernant les deepfakes (s’ouvre dans un nouvel onglet) : « Entre 2023 et 2024, le FinCEN a constaté une augmentation des signalements d'activités suspectes par les institutions financières, décrivant l'utilisation présumée de deepfakes dans des opérations frauduleuses. » L'alerte précise que des comptes ont été ouverts avec des identités vraisemblablement générées par intelligence artificielle. Le laboratoire d'innovation d'Europol avait déjà mentionné le « détournement des mécanismes de connaissance du client » parmi les utilisations criminelles des deepfakes dans son rapport de 2022 (s’ouvre dans un nouvel onglet) .

La méthode importe plus que les médias. ENISA L'agence européenne de cybersécurité distingue une attaque par présentation (un objet présenté devant la caméra) d'une attaque par injection, où un artefact numérique est « injecté directement dans le sous-système de reconnaissance biométrique » et vise donc, selon ses propres termes, à « contourner le système de sécurité ». PAD Les contrôles d'identité, notamment ceux qui vérifient la présence d'un masque ou d'un écran, sont essentiels. Dans son rapport de mars 2024 sur les bonnes pratiques (s’ouvre dans un nouvel onglet) , les attaques par présentation de deepfakes et par injection biométrique étaient les deux types d'attaques biométriques que les acteurs interrogés jugeaient les plus difficiles à contrer. L'un des signaux d'alerte du FinCEN est le même que celui observé par une banque : « Un client utilise un plugin de webcam tiers lors d'un contrôle d'identité en direct. »

Le concepteur. Dans l' enquête Stack Overflow de 2025 auprès des développeurs (s’ouvre dans un nouvel onglet) , 84 % des répondants ont déclaré utiliser ou prévoir d'utiliser des outils d'IA dans leur processus de développement, et une majorité d'entre eux se méfiaient de la précision de ces outils (46 %) plutôt que de leur faire confiance (33 %). Ce chiffre concerne l'utilisation des outils, et non la quantité de code produite par une machine. Nous n'avons trouvé aucune source primaire pour le second chiffre que nous souhaitons reproduire. Le premier lecteur de la documentation de votre fournisseur est de plus en plus souvent un agent, et l'auteur de cet agent ne lui fait pas entièrement confiance.

La documentation est en cours de reconstruction pour ce lecteur. La proposition llms.txt (s’ouvre dans un nouvel onglet) , initialement publiée par Jeremy Howard en septembre 2024, invite les sites à ajouter un fichier Markdown /llms.txt à leurs sites web afin de fournir LLM « contenu convivial ». La spécification OpenAPI (s’ouvre dans un nouvel onglet) décrit depuis longtemps un API Ainsi, « humains et ordinateurs » peuvent le comprendre sans lire le code source. Le protocole MCP (Model Context Protocol) (s’ouvre dans un nouvel onglet) permet à un client IA d'appeler les outils d'un serveur, et sa propre description est sans équivoque quant au risque : « Les outils permettent l'exécution de code arbitraire et doivent être utilisés avec la plus grande prudence. »

La décision. Un résultat de vérification utilisé pour conclure comme un PDF Devant un responsable de la conformité, la demande atterrit désormais dans un gestionnaire de webhook qui autorise ou refuse l'accès en quelques millisecondes. Un logiciel ne peut pas se contenter d'une simple coche verte ; il lui faut un statut, une raison et une indication sur la solidité des preuves.

Ce que l'IA native devrait signifier : cinq tests

Voici des propriétés que vous pouvez vérifier.

1. Certaines preuves ne dépendent pas du flux vidéo de la caméra. Si chaque vérification porte sur les pixels fournis par l'appareil du demandeur, une injection suffisamment efficace les invalide toutes. ENISA Le rapport cite deux méthodes de défense documentaire comme étant les plus importantes : la consultation des registres et la lecture de la puce, qui, selon lui, « pourraient éliminer plusieurs attaques synthétiques » (il note également que les entreprises privées ne sont pas autorisées de manière uniforme à lire les puces dans toute l’UE).

2. Les informations fournies par l'appareil sont vérifiées à nouveau sur le serveur. NIST La norme SP 800-63A-4 (s’ouvre dans un nouvel onglet) (version finale, juillet 2025) indique que les fournisseurs « SHALL « Mettre en œuvre des contrôles techniques pour renforcer la confiance dans l'authenticité du capteur utilisé pour la production des contenus numériques » et cite en exemple la détection d'une caméra virtuelle, d'un émulateur ou d'un appareil jailbreaké. Un verdict de présence calculé uniquement sur le téléphone constitue une allégation, et non une constatation.

3. Le résultat indique sa robustesse et explique pourquoi. Un passeport vérifié à partir de sa puce et un permis de conduire vérifié à partir d'une photo ne devraient pas donner le même résultat. Nous avons traité ce sujet dans… KYC niveaux d'assurance .

4. Un agent de codage peut s'intégrer sans conjecture. Cela implique un index à récupérer, des contrats précis pour les requêtes et les réponses, et un environnement de test gratuit avec un cas de test pour chaque résultat, afin que le travail de l'agent soit validé par des tests plutôt que par la confiance elle-même.

5. Les décisions énoncent leur règle et laissent place à l'interprétation. De même. NIST cette section indique « analyse et décision automatisées » SHOULD « Ce système doit être complété par des vérifications manuelles pour corriger les erreurs de détection. » Un système qui ne peut que répondre par oui ou par non ne permet pas de prendre en compte le doute.

Ce que cela ne signifie pas

• Un chatbot sur le tableau de bord. Cela ne change rien à la capacité d'une vidéo falsifiée à passer entre les mailles du filet.

• Un modèle qui décide seul. L'objectif n'est pas d'accroître l'intervention de l'IA dans la décision, mais de fournir de meilleures preuves et une décision explicable.

• Un score opaque. Un « Risque : 0,83 » sans justification est indéfendable auprès d’un client, d’un auditeur ou d’un organisme de réglementation.

• L'affirmation selon laquelle ce procédé permettrait de détecter tous les deepfakes est erronée. Personne ne peut le prouver. NIST Europol réalise des évaluations indépendantes (s’ouvre dans un nouvel onglet) des logiciels de détection des attaques par présentation précisément parce que leurs performances varient et doivent être mesurées. Europol maintient sa position : « la robustesse de tout processus d’identification dépend du processus dans son ensemble, et non seulement de ses étapes visuelles. »

Ce que dit la loi concernant l'humain dans la boucle

Trois textes méritent d'être lus dans leur version originale, car ils sont plus restreints qu'on ne le décrit habituellement.

• GDPR Article 22. Toute personne a le droit de ne pas faire l’objet d’une décision fondée exclusivement sur un traitement automatisé produisant des effets juridiques ou des effets significatifs. Lorsqu’une exception s’applique (contrat ou consentement explicite), le responsable du traitement doit néanmoins offrir « au moins le droit d’obtenir une intervention humaine », d’exprimer son point de vue et de contester la décision. Article 22, paragraphes 1 et 3 (s’ouvre dans un nouvel onglet) .

• Loi nigériane sur la protection des données de 2023, article 37. Structure quasi identique : le droit de ne pas faire l’objet d’une décision « fondée exclusivement sur un traitement automatisé de données à caractère personnel, y compris le profilage », assorti de garanties telles que le droit d’« obtenir une intervention humaine », d’exprimer son point de vue et de « contester la décision ». Article 37(1) et (3) (s’ouvre dans un nouvel onglet) .

• Loi européenne sur l'IA, Annexe III L’identification biométrique à distance est classée comme présentant un risque élevé, mais il est également précisé qu’elle n’inclut pas la vérification biométrique « dont le seul but est de confirmer qu’une personne physique est bien celle qu’elle prétend être ». Annexe III , point 1 a) (s’ouvre dans un nouvel onglet) . Lorsqu'un système est une identification biométrique à distance, l'article 14, paragraphe 5, (s’ouvre dans un nouvel onglet) exige que le résultat soit confirmé par au moins deux personnes compétentes avant toute action, et l'article 86, paragraphe 1, (s’ouvre dans un nouvel onglet) confère à la personne concernée le droit à des explications claires et pertinentes des décisions fondées sur l'annexe III systèmes à haut risque.

Ainsi, la vérification d'un selfie individuel est traitée différemment de la recherche d'un visage parmi plusieurs. Déterminer de quelle catégorie se situe une caractéristique relève de la compétence de vos avocats. NIST Le cadre de gestion des risques liés à l'IA (s’ouvre dans un nouvel onglet) (janvier 2023) résume l'approche pratique en une phrase : les processus de supervision humaine doivent être « définis, évalués et documentés ». Nous n'avons pris en compte que les textes de l'UE, du Nigéria et des États-Unis. Les autres pays adoptent des approches différentes.

Que faire avec ça ?

Si vous êtes en train d'acheter, posez ces questions au service des achats et demandez une réponse écrite.

• Lesquelles de vos vérifications resteraient valides si l'attaquant contrôlait entièrement le flux vidéo de la caméra ?

• Quels résultats de disponibilité sont calculés sur l'appareil, et lesquels sont vérifiés à nouveau sur vos serveurs ?

• Le résultat m'indique-t-il comment cela s'est passé, dans un champ sur lequel mon code peut effectuer une branche ?

• Lorsqu'une règle désigne une personne pour examiner une demande ou la refuse, puis-je voir de quelle règle il s'agit et qui a modifié le résultat par la suite ?

• Qu'est-ce qui vous échappe ? Méfiez-vous des réponses trop courtes.

Si vous êtes en train de construire. Cet après-midi, avec Toden Vous pouvez alors transmettre la demande d'intégration (s’ouvre dans un nouvel onglet) à votre agent de développement. Celui-ci analysera votre dépôt, vous interrogera et attendra votre approbation avant de coder. Ensuite, faites-lui prouver son bon fonctionnement : Sandbox est gratuit et attribue un identifiant de test à chaque résultat. Enfin, lisez la suite.assuranceLeveletreasonCodesur le résultat.

Si vous regardez, observez trois choses : si la détection des attaques par injection bénéficie d’une norme de test aussi bien établie que celle des attaques par présentation ( ENISA On a noté en 2024 qu'aucune n'était encore acceptée à l'échelle mondiale), si la lecture des puces devient légalement accessible aux entreprises privées dans davantage d'endroits, et si les fournisseurs commencent à publier ce qu'ils manquent.

Où Toden c'est aujourd'hui, et qu'est-ce qui viendra ensuite ?

Voici ce qui existe actuellement, avec les limites qui y sont attachées.

• Preuves complémentaires à l'image. La vérification peut s'appuyer sur une base de données gouvernementale (au Nigéria, au Ghana, au Kenya, en Afrique du Sud et en Côte d'Ivoire) ou sur la puce du passeport, authentifiée sur nos serveurs. La puce n'est valide que si son signataire est rattaché à un émetteur de confiance ; sinon, le résultat est non concluant. La lecture de la puce nécessite nos SDK mobiles, car aucun navigateur ne peut l'effectuer. Partout ailleurs, la vérification repose sur le document lui-même, et le résultat le confirme.assuranceLevelestchip,gov_dboudocument.

• Vérifications côté serveur. La détection de présence peut utiliser des gestes, une séquence aléatoire de couleurs à l'écran, ou les deux. Pour la vérification par flash, le téléphone transmet ce qu'il a vu et nous lisons ensuite l'enregistrement nous-mêmes, couleur par couleur. Si notre lecture est trop faible pour être concluante, elle est enregistrée comme non concluante et n'est pas retenue contre la personne. Si l'enregistrement n'arrive jamais, votre flux de travail transfère le cas à une personne ou le refuse. Plus d'informations dans la section sur la détection de présence côté serveur et la comparaison entre les gestes et le flash .

• Signalisation d'injection, pas preuve d'injection. Device Intelligence recherche les caméras virtuelles, les émulateurs, les téléphones rootés et les failles d'intégrité des applications ; une règle de décision peut ensuite les interpréter.verification.cameraSuspectCe sont des signaux qui alimentent vos règles. Nous ne prétendons pas détecter tous les deepfakes et nous ne publions aucun taux de détection. Cet article explique l'attaque en détail.

• Des résultats qui parlent d'eux-mêmes. Chaque résultat est accompagné d'une brève description.status, lecheckStatusen dessous, unreasonune peine et une établereasonCodeVos propres règles d'approbation, de révision et de refus fonctionnent comme un graphe de décision qui enregistre le cheminement suivi, etstatusHistoryrépertorie chaque modification et son auteur, qu'il s'agisse d'un flux de travail ou d'un API clé ou réviseur.

• Documentation destinée aux agents. La documentation publiéellms.txtIndex, chaque page au format Markdown, deux contrats OpenAPI 3.1, compétences de l'agent et documentation MCP serveur qui recherche dans la documentation et ne fait rien API appels. L'agent s'intègre dans un environnement de test (Sandbox) ; une personne publie des flux de travail et passe aux clés de production.

Et ce qui n'existe pas encore. MCP Le serveur qui gère votre compte, en créant des sessions ou en lisant les résultats, est en cours de planification et n'est pas disponible. MCP La spécification rend l'autorisation facultative et, lorsqu'elle est utilisée, exige que les serveurs « vérifient que les jetons d'accès ont été émis spécifiquement pour eux » ( section Autorisation (s’ouvre dans un nouvel onglet) ). Un outil capable de lire des données d'identité doit satisfaire à cette exigence, et à d'autres encore, avant sa mise sur le marché.

Au-delà de cela, il s'agit de notre point de vue, et non d'un engagement. Nous pensons que la vérification évolue vers des résultats probants, vers des agents agissant pour le compte des clients et nécessitant leur propre méthode d'identification, et vers un marché où les prestataires sont jugés sur ce qu'ils admettent ne pas pouvoir voir. Nous préférons être évalués sur ce critère plutôt que sur un adjectif.

Ce document ne constitue en aucun cas un avis juridique applicable à votre situation. Les vérifications à effectuer, le moment où une personne doit examiner le dossier et les informations à communiquer au demandeur dépendent de l'autorité de réglementation compétente et de votre pays.

Vous voulez le voir ? Ouvrez un Toden espace de travail (s’ouvre dans un nouvel onglet) , ou indiquez à votre agent le guide d'intégration de l'IA (s’ouvre dans un nouvel onglet) .