Tu vas devoir faire « coucou » à Google pour prouver que tu n’es pas un robot… Voici pourquoi ça craint
Les traditionnels puzzles d’images ou cases à cocher perdent du terrain face à l’essor de l’intelligence artificielle. Google explore donc une approche différente : la reconnaissance gestuelle via webcam pour confirmer qu’un internaute est bien humain. Ce test s’inscrit dans le programme Fraud Defense et vise à contrer les bots toujours plus sophistiqués.
Comment fonctionne cette vérification par geste
Plutôt que d’identifier des feux tricolores ou des véhicules sur une photo, le système invite l’utilisateur à lever la main ou à effectuer un mouvement simple devant sa caméra. L’outil analyse ensuite la géométrie de la main en repérant vingt et un points articulaires clés. Cette méthode fait partie de reCAPTCHA Enterprise, proposée aux sites qui choisissent d’y souscrire dans le cadre de Google Cloud Fraud Defense. Elle s’active sur des pages sensibles comme les formulaires de connexion, d’inscription ou de paiement, sans être généralisée à l’ensemble du web.
Google insiste sur le caractère ponctuel de l’analyse : la vidéo est traitée en temps réel puis effacée, sans conservation d’image ni d’enregistrement audio. Les internautes qui ne peuvent pas ou ne souhaitent pas utiliser la caméra conservent la possibilité de revenir aux anciens défis visuels. L’objectif affiché est de rendre la vérification plus résistante aux modèles d’IA qui excellent désormais à résoudre les CAPTCHA classiques.
Les enjeux de confidentialité autour des données biométriques
La capture de la géométrie de la main soulève des interrogations sur le statut de ces informations. Plusieurs législations, dont la loi BIPA dans l’État de l’Illinois, considèrent de tels scans comme des données biométriques sensibles. Google précise que son système se limite à détecter une présence vivante sans chercher à identifier la personne, ce qui le placerait, selon la firme, en dehors du champ d’application de ces textes. À ce jour, aucune juridiction n’a encore tranché cette interprétation.
Le contexte plus large est celui de l’« agentic web », où les agents autonomes dopés à l’IA multiplient les interactions en ligne. Fraud Defense a été conçu précisément pour protéger les parcours utilisateurs contre ces nouveaux acteurs automatisés, allant au-delà de la simple lutte contre les bots traditionnels. La firme met en avant une solution moins intrusive qu’un scan facial tout en restant plus difficile à automatiser qu’un simple clic.
Des failles déjà mises en lumière par les testeurs
Le déploiement limité, entamé mi-juin 2026, a rapidement révélé des limites. Des expérimentateurs ont contourné la vérification en diffusant une simple photographie statique de main via une caméra virtuelle, comme OBS Studio, sans aucune personne réelle ni mouvement. Ce contournement basique démontre que le système reste perfectible face à des attaques pas nécessairement pilotées par de l’IA avancée.
À l’heure où les sites tentent de trouver l’équilibre entre protection efficace et fluidité pour l’utilisateur, cette expérimentation rappelle que la course aux CAPTCHA continue. La manne économique que représente reCAPTCHA pour Google reste intacte, même si l’efficacité réelle face aux outils automatisés suscite toujours plus de débats.
