IA capable de localiser des photos publiées sur les réseaux sociaux

Publiez-vous vos photos sur les réseaux sociaux ? Une nouvelle étude révèle qu’il ne suffit plus de désactiver la géolocalisation ou d’effacer les métadonnées pour préserver votre confidentialité géographique. Des outils d’intelligence artificielle sont désormais capables de déterminer avec une grande fiabilité l’endroit où une image a été prise — même en l’absence totale de données GPS, de balises EXIF ou d’indices textuels dans le nom du fichier.

Menée par la société McAfee, l’étude a testé deux modèles d’IA open-weight : Gemma 3 27B, développé par Google, et Qwen 3 VL 30B, conçu par Alibaba. Pour évaluer leurs performances, les chercheurs ont utilisé plus de 21 000 photographies de voyage, toutes soigneusement dépouillées de toute information géographique explicite. Résultat : Gemma a correctement identifié la ville et le pays dans 87 % des cas, tandis que Qwen a atteint un taux de réussite de 91 %.

L’IA n’a pas besoin de coordonnées GPS ni de données cachées. Elle exploite exclusivement les indices visuels contenus dans l’image : architecture des bâtiments, enseignes commerciales, noms de magasins, silhouettes d’horizons urbains, typologie de l’éclairage naturel, signalisation routière, tracé des rues ou encore présence de kiosques alimentaires. En croisant ces éléments avec ses connaissances intégrées sur les particularités locales, le modèle détermine la localisation la plus probable.

La reconnaissance s’est avérée particulièrement efficace lorsque les images incluaient des monuments touristiques ou des éléments distinctifs. À l’inverse, les scènes génériques — plages anonymes, routes rurales ou chambres d’hôtel neutres — ont posé davantage de difficultés. Toutefois, même dans ces cas, l’IA parvenait fréquemment à identifier correctement le pays, même sans parvenir à désigner la ville exacte.

L’expérience ne s’est pas limitée aux photos publiques. Des employés de McAfee ont également soumis à des outils grand public comme ChatGPT, Claude et Copilot des images personnelles non publiées, prises lors de leurs propres voyages. Dans un exemple documenté, un modèle a reconnu avec justesse un paysage fluvial bordé d’arbres comme celui d’Hastings-on-Hudson, une petite localité située dans l’État de New York.

Cette capacité soulève des risques concrets en matière de cybersécurité. Selon l’étude, des fraudeurs pourraient exploiter ces outils pour rendre leurs attaques plus crédibles. Plutôt que d’envoyer des messages de phishing génériques, ils pourraient analyser des photos publiées sur Instagram, Facebook ou X afin d’en déduire non seulement le lieu de prise de vue, mais aussi — par inférence — la période probable d’un déplacement. Ces informations serviraient ensuite à fabriquer des alertes trompeuses : un faux message bancaire évoquant une transaction inhabituelle « pendant votre séjour à Barcelone », ou une notification mensongère indiquant une tentative de connexion depuis « la même ville que votre dernière photo ».

Le simple fait de partager une photo de vacances peut donc révéler bien plus que l’intention initiale. Même sans mentionner le lieu ni autoriser l’application à afficher sa position, l’image elle-même devient une source potentielle de données géographiques précises — dès lors qu’elle est analysée par un modèle suffisamment sophistiqué. En revanche, cette capacité reste limitée face aux clichés trop génériques ou dépourvus de repères visuels marquants : la localisation exacte d’un individu, en temps réel, à partir d’une seule image, n’est pas garantie.