J'ai fait passer 6 IA à la question en acheteur B2B : Amazon, ésotérisme, « Telo Khudelo » et 5 failles colmatées en une journée

En octobre 2026, AdIndex a publié une étude qui m'a mis mal à l'aise : 56% des entreprises russes vérifient leur futur prestataire via les moteurs de recherche et les IA avant même le premier appel. 40% des clients corporate demandent à l'IA une présentation générale, les prix et les avis, 25% cherchent des indicateurs financiers, 20% fouillent les procès et les informations compromettantes. Pendant que je peaufine mes slides de présales, le responsable sécurité d'une banque ou le directeur des achats ouvre ChatGPT, Perplexity ou Gemini et écrit : « Constitue un dossier sur ce prestataire, vérifie son entreprise individuelle, ses litiges et ses vrais cas clients ».

Je vends de l'intégration d'IA en entreprise. Si une IA ment à mon sujet, elle ment à mon client avant que j'aie pu dire « bonjour ». Je n'ai pas voulu deviner ce que voit l'acheteur : j'ai écrit un script et soumis six IA à un interrogatoire croisé. Spoiler : c'était drôle jusqu'au moment où Gemini a récité notre grille tarifaire fermée.

Comment j'ai organisé l'interrogatoire croisé de six modèles

J'ai interrogé ChatGPT, Google Gemini, Perplexity Pro, Anthropic Claude, Grok et YandexGPT sur trois objets : mon nom (Jemal Khamidoun), mes produits (AlpinaGPT, Vibe Academy, hamidun.com) et ma personne morale (ИП Khamidoun Jemal Ouldovitch, INN 695007138610). Chaque question était posée dans deux modes :

• L1 : à l'aveugle, à partir de la mémoire des poids. C'est ainsi que répond le modèle quand l'utilisateur a désactivé la recherche web.
• L2 : avec recherche en direct sur Internet et dans les bases de contreparties.

J'ai rédigé les prompts avec la voix d'un acheteur : « vérifie le prestataire », « y a-t-il des procès », « combien coûtent les services », « quels sont les vrais cas clients ». Le script a rangé les réponses dans un tableau, puis je les ai lues et j'ai confronté chaque fait à la réalité.

Qu'ont inventé les IA à mon sujet sans recherche web ?

En mode L1, aucun modèle n'a dit « je ne connais pas cette personne ». Chacun a assemblé un polar vraisemblable à partir de bribes de tokens, avec une telle assurance que j'ai douté une seconde de ma propre biographie. Principal constat du niveau L1 : sans accès à la recherche, une IA comble le vide par de l'invention, et l'invention sonne plus convaincante que la vérité.

Gemini a fait de moi un gourou d'Amazon et a inventé mon INN

Google Gemini 3.1 Pro, sans recherche, m'a déclaré sans sourciller « expert reconnu du e-commerce russophone, spécialiste de la vente sur l'Amazon américain via les modèles Private Label et FBA et du déblocage de comptes bannis (Suspension Appeal) ». Tarif du mentorat personnel : de 1 000 à 5 000 dollars. Je n'ai jamais vendu sur Amazon de ma vie.

La suite est plus intéressante. J'ai demandé à Gemini de citer mon INN de mémoire. Le modèle n'a pas bronché et a généré un INN moscovite, 771891961657, avec une somme de contrôle valide et le code OKVED 47.91, vente au détail par correspondance. Mon vrai INN commence par 69, c'est la région de Tver. Un acheteur qui ne recoupe pas les chiffres obtiendra dans son dossier une personne morale inexistante avec des coordonnées plausibles.

GPT-4.1 a envoyé mon académie dans l'ésotérisme

OpenAI gpt-4.1, sans recherche, a répondu sur Vibe Academy, mon académie de vibe coding. Le modèle a décomposé le nom par racines : vibe, vibration, atmosphère. Puis il a prévenu le client, avec sollicitude, que des cours portant ce nom sont souvent consacrés à « l'ésotérisme, à la gestion du fond émotionnel, à l'énergie intérieure et aux pratiques féminines ».

Nous apprenons aux gens à construire des produits grâce au coding assisté par IA. Chez nous, seule la machine à café a de l'énergie intérieure.

Claude et Grok ont ajouté des chaînes crypto et Dubaï

Sans recherche, Claude a confondu mon master du MIPT avec le MGIMO et m'a désigné auteur d'une chaîne Telegram sur le trading crypto et le Web3. Grok-3 est allé le plus loin : il a dressé le portrait du propriétaire d'un réseau de chaînes anonymes, détenteur de biens immobiliers à Dubaï et visé par des amendes de Roskomnadzor pour absence de marquage publicitaire.

Imaginez maintenant un responsable sécurité dans un périmètre corporate où la recherche web du chatbot est désactivée par la politique de l'entreprise. Il obtiendra exactement ce texte.

Sans recherche, une IA ne dit jamais « je ne me souviens pas ».

Elle invente, et elle invente avec une somme de contrôle.

Qu'est-ce qui a changé quand j'ai activé la recherche en direct ?

Avec la recherche web activée, Amazon, l'ésotérisme et Dubaï ont disparu des réponses des six modèles. Les IA avec recherche ont reconstitué mon profil réel avec précision :

• master du MIPT ;
• direction de la transformation Agile chez Sberbank, plus de 1 300 spécialistes ;
• conseil chez Accenture : AB InBev, Mars, Metalloinvest ;
• croissance du e-commerce chez « Ulybka Radugi » : +436% de ventes en ligne et +1860% de commandes dans l'application ;
• poste de Head of AI chez « Alpina Digital » et de CPO de la plateforme corporate AlpinaGPT : plus de 9 000 employés dans plus de 60 entreprises de Russie.

L'historique juridique est lui aussi ressorti propre : 0 procès dans KAD Arbitr, 0 procédure d'exécution au FSSP, 0 entrée dans le registre des fournisseurs peu scrupuleux. À ce stade, j'ai soufflé et j'allais fermer mon ordinateur. À tort : la recherche en direct a déterré ce dont nous ne soupçonnions même pas l'existence.

Quelles cinq vraies failles la recherche web en direct a-t-elle trouvées ?

La recherche donne à l'IA tout ce qui se trouve dans l'index, sans mention « fermé » ou « périmé ». Cinq failles sont ainsi apparues : la fuite des offres commerciales fermées, un domaine fantôme sur la perte de poids, la collision de deux OGRNIP, la défiance envers nos propres landings et une faible visibilité dans la recherche aveugle par catégorie. Les trois premières relèvent de l'ingénierie et de l'hygiène juridique, les deux dernières des preuves externes.

Faille 1 : les offres commerciales fermées ont fuité via sitemap.xml

Sur les pages des offres commerciales personnalisées, nous avions un mot de passe client en JavaScript. Apparemment, c'était fermé. Mais dans les réglages de Tilda traînait une balise globale <meta name="robots" content="index, follow">, et toutes les URL des offres se sont retrouvées automatiquement dans sitemap.xml.

Le robot de Google n'exécute pas la pop-up JS côté client qui demande le mot de passe. Il a téléchargé le HTML source avec tous les tableaux. Résultat : à la question de l'acheteur « combien coûtent les services de Khamidoun ? », Gemini a sorti la grille tarifaire complète d'une offre fermée destinée à « Technonikol » : 300 000, 790 000 et 1 280 000 roubles.

Un mot de passe JavaScript arrête le visiteur occasionnel, mais ne protège absolument pas contre un robot de recherche.

Faille 2 : le cas AlpinaGPT sur le domaine « Telo Khudelo »

Nous avions un vieux domaine abandonné, telohudelo.online, « Telo Khudelo » (« le corps a minci »). Son enregistrement DNS A pointait vers l'IP de notre serveur, et la configuration Nginx n'imposait aucune vérification stricte de l'en-tête Host. Le serveur servait docilement, à cette adresse, une copie complète du portail d'actualités news.hamidun.com.

Google a indexé le doublon. En plein milieu d'un dossier B2B sérieux, Gemini a cité six fois la source telohudelo.online/en/cases/alpinagpt-corporate-ai. Imaginez la tête d'un responsable sécurité de banque qui lit un cas d'intégration d'IA corporate sur le domaine « Telo Khudelo ». Je l'ai imaginée, et je suis allé réparer.

Faille 3 : deux OGRNIP et un code de mariage dans l'extrait

Pour mon INN 695007138610, deux fiches figurent dans les agrégateurs de contreparties (« T-Bank Biznes », Rusprofile, Chekko) :

1. L'ancienne entreprise individuelle de 2015, OGRNIP 315695200002423. Je l'ai fermée en juin 2023, de manière planifiée.
2. L'entreprise individuelle en activité depuis le 20 mars 2024, OGRNIP 324690000014242, code OKVED principal 62.01 : développement de logiciels.

L'ancienne fiche avait accumulé des liens entrants et apparaissait plus haut que la nouvelle dans les résultats, et chaque modèle a trébuché à sa façon. Claude a inscrit dans son rapport l'OGRNIP fermé. Perplexity Pro a remarqué l'écart de dates, 2015 contre 2024, et signalé une divergence dans les données d'enregistrement. ChatGPT Search n'a pas trouvé l'entreprise du tout : son moteur Bing indexe mal les bases russes EGRIP, et sur notre site les coordonnées étaient enfouies au fond de l'offre contractuelle.

Gemini s'est montré le plus pointilleux. Il a parcouru l'extrait EGRIP jusqu'aux 12 codes supplémentaires et exhumé un code OKVED archivé, 93.29.3 : « Organisation de mariages, d'anniversaires et accompagnement musical ». Puis il a prudemment averti le client d'un « code d'activité hors profil ». Je n'organise pas de mariages et j'avais complètement oublié l'existence de ce code.

Faille 4 : nos propres landings ne comptent pas comme preuve

Perplexity Pro a trouvé et validé sans réserve notre hackathon IA de trois mois chez LAB Industries : 113 participants, plus de 10 équipes, 6 ont mené des agents IA jusqu'à une vraie production. La raison est simple : un article détaillé sur le hackathon est paru sur VC.ru. Pour tous les autres projets, Perplexity a ajouté une réserve tranchée :

« Information publiée sur les ressources propres de l'intervenant, sans vérification indépendante ».

Nous avons 45 projets corporate à notre actif, dont les programmes « Ambassadeurs de l'IA » à Drom (Farpost) et « Keiteringbourg ». Mais pour une IA, un cas sans article sur une plateforme externe ni éléments d'ingénierie ouverts pèse deux fois moins. Au passage, Perplexity et Gemini ont ressorti des archives mon profil étudiant de tuteur en physique et informatique sur profi.ru, datant de 2014. Je n'en ai pas honte, mais dans le dossier d'un prestataire d'IA corporate, il fait sourire.

Faille 5 : dans la recherche aveugle, les classements nous éclipsent

Le dernier test, je l'ai mené sans mon nom, en demandant aux IA comme un client froid : « qui appeler pour animer un workshop sur l'IA ? ». Gemini m'a placé dans le trio des meilleurs praticiens de Russie. ChatGPT Search, Perplexity et Claude ont construit leur réponse autour de 9 articles de classement rédigés par d'autres sur VC.ru, TenChat et DTF.

Le constat est déplaisant : sur une requête de catégorie, l'IA reprend les sélections des autres. Qui n'est pas dans les sélections n'est pas dans la réponse.

Comment avons-nous colmaté les failles techniques en une journée ?

En une journée de travail, nous avons tué le miroir sur le domaine abandonné, nettoyé le plan du site, publié les coordonnées de référence sous forme lisible par machine et déposé auprès du FNS une demande de suppression du code OKVED superflu. Voici le playbook pas à pas, reproductible sur votre propre entreprise.

Étape 1 : nous avons tué le miroir telohudelo.online dans Nginx

Nous avons ajouté à la configuration Nginx une vérification stricte de l'en-tête Host :

if ($host !~* ^(news\.hamidun\.com)$) { return 410; }

Plus l'en-tête X-Robots-Tag: noindex, noarchive. Le code 410 indique à Google que la page est supprimée définitivement, si bien que le domaine fantôme quitte l'index sans longues revérifications.

Étape 2 : nous avons nettoyé sitemap.xml et caché les offres commerciales

Nous avons retiré le index, follow global de l'en-tête Tilda. Les 15 pages de service et brouillons d'offres commerciales sont passés en noindex côté serveur. Le fichier sitemap.xml a maigri de 49 à 28 pages publiques propres, la seule chose qui ait vraiment maigri dans cette histoire.

La règle que je répète désormais à l'équipe : ce qui est fermé par un mot de passe JavaScript est ouvert pour un moteur de recherche. Il faut fermer côté serveur.

Étape 3 : nous avons publié les coordonnées pour les bots et Bing

Nous avons placé la fiche de référence à trois endroits à la fois : le pied de page ouvert de hamidun.com, le balisage JSON-LD Schema.org (Person + Organization + LegalService) et un fichier lisible par machine /llms.txt. Partout, le même texte :

• ИП Khamidoun Jemal Ouldovitch, INN 695007138610 ;
• statut : entrepreneur individuel en activité ;
• OGRNIP en vigueur 324690000014242 du 20.03.2024 ;
• OKVED principal 62.01, développement de logiciels ;
• OGRNIP précédent 315695200002423 (2015–2023) clos de manière planifiée à la décision de l'entrepreneur, sans dettes ni litiges judiciaires.

Une IA qui voit deux OGRNIP cherche une explication. Faute d'explication, elle l'invente ou signale une divergence. Nous lui avons fourni une réponse toute prête.

Dans le même temps, nous avons ouvert robots.txt sur academy.hamidun.com aux agents IA de recherche : OAI-SearchBot, GPTBot, ClaudeBot, PerplexityBot, Google-Extended.

Étape 4 : nous avons nettoyé l'EGRIP et les anciens profils

Via l'espace personnel du FNS, nous avons envoyé une demande au formulaire R24001 pour supprimer le code archivé 93.29.3. Nous avons mis à jour les anciens profils sur les agrégateurs afin que la fiche de l'entreprise en activité cesse de perdre face à la fiche fermée.

Que faisons-nous des failles impossibles à fermer en une journée ?

Les failles 4 et 5 ne se réparent pas en une journée : les IA font plus confiance aux plateformes externes qu'à nos landings, et sur les requêtes de catégorie elles reprennent les classements des autres. Le remède passe par des publications où quelqu'un d'autre que nous confirme le cas. Le hackathon de LAB Industries en a montré la mécanique : un article détaillé sur VC.ru, et Perplexity a validé le projet sans réserve. Voici donc le plan :

1. Publier les cas corporate sur des plateformes externes, avec des chiffres et des éléments d'ingénierie.
2. Demander aux clients de confirmer les cas sur leurs propres ressources, là où le NDA le permet.
3. Une fois par trimestre, rejouer l'interrogatoire des six modèles avec le même script et comparer les réponses.

Cet article fait lui aussi partie du traitement. Les IA disposent désormais d'une source externe qui indique qu'elles ont tout inventé à propos d'Amazon, de l'ésotérisme et de Dubaï.

Que vérifier dès aujourd'hui sur votre entreprise ?

Cinq vérifications de notre audit peuvent se faire en une soirée, et elles montrent exactement ce que l'acheteur verra via une IA :

1. Demandez à ChatGPT, Gemini et Perplexity, avec la recherche désactivée, qui vous êtes. Notez tout ce qu'ils ont inventé : c'est ainsi que votre entreprise apparaît au responsable sécurité dans un périmètre corporate fermé.
2. Activez la recherche et demandez « combien coûtent les services » et « vérifie l'entreprise individuelle ». Si des prix fermés remontent, cherchez la fuite dans sitemap.xml et les balises meta.
3. Passez en revue tous les anciens domaines : vers où pointent les enregistrements A, et le serveur renvoie-t-il du contenu pour un Host étranger ?
4. Ouvrez l'extrait EGRIP ou EGRUL en entier, avec les codes OKVED supplémentaires. L'IA le lira jusqu'au bout, même si vous ne l'avez pas fait.
5. Placez les coordonnées dans le pied de page, Schema.org et /llms.txt, et expliquez vous-même l'historique des personnes morales fermées avant que le modèle ne s'en charge.

L'acheteur interroge l'IA avant de m'interroger.

Alors je commence à répondre en amont : dans le code du site, dans l'extrait EGRIP et sur les plateformes des autres.