Text salting : le texte caché qui aveugle les filtres e-mail IA

De quoi s’agit-il ?

Le 16 juillet 2026, Barracuda a publié un Threat Spotlight, rédigé par l’analyste senior des menaces Pranati Sethy, consacré au text salting — une technique qui remplit les e-mails de phishing d’un grand volume de texte invisible et inoffensif afin de tromper les systèmes de sécurité de la messagerie. Barracuda indique avoir recensé plus d’un million d’attaques utilisant cette technique depuis avril 2026, dans le cadre d’une campagne aux couleurs du commerce de détail promettant récompenses, points, cartes cadeaux ou offres de « dernière chance ». Le même comportement a été signalé en parallèle par Cisco Talos.

Le text salting est une vieille astuce d’évasion anti-spam, mais l’évolution notable concerne sa cible. Au cours de l’année écoulée, elle est passée de la confusion des filtres par mots-clés et par langue à la confusion des classifieurs de machine learning et, de plus en plus, des moteurs d’analyse à base de LLM désormais placés devant la boîte de réception. L’e-mail visible est un appât court et urgent ; le texte caché est un mur de remplissage anodin qu’un humain ne lit jamais, mais qu’un classifieur naïf, lui, analyse.

Comment ça marche

Un filtre anti-spam classique note un message selon la densité de mots « suspects ». Le text salting dilue cette densité : l’attaquant noie le contenu de phishing dans un grand volume de texte anodin, de sorte que les termes suspects représentent une part plus faible de ce que le modèle lit. Les échantillons de Barracuda garnissent le message d’histoires aléatoires et de notes de type « projet », gonflant le décompte de mots neutres comme puppy, training, notes, task, rhythm et book pour étouffer les signaux comme rewards, expires ou card.

Les messages arrivent avec une plomberie crédible. La campagne utilise des sites légitimes compromis ou des domaines sosies configurés avec de l’authentification e-mail standard, dont la signature DKIM, si bien que l’enveloppe passe les contrôles de réputation et d’authentification.

La dissimulation elle-même est superposée — Barracuda la compare à trois verrous sur une même porte, de sorte que si un filtre déjoue une astuce, les autres cachent toujours le texte :

# Conceptuel uniquement — illustre les astuces CSS/HTML décrites, pas une charge fonctionnelle.
clip-path: inset(100%)      # rogne la fenêtre de rendu à zéro sur tous les côtés
max-height: 0; line-height: 0   # repli : effondre la hauteur du bloc
text-indent: -9999px        # pousse la ligne ~10 000 px hors écran à gauche
overflow: hidden            # supprime la barre de défilement qui la révélerait
font-size: 0                # texte en police zéro inséré dans les mots

Le texte en police zéro est aussi inséré à l’intérieur des mots pour casser la détection par signature : un e-mail dont la source lit « Your pass[texte aléatoire]word expired » s’affiche pour l’utilisateur comme « Your password expired », tandis qu’un scanner qui cherche la phrase exacte ne se déclenche jamais.

Pourquoi c’est important

La technique fonctionne contre les filtres à base d’IA pour une raison précise : un LLM traite généralement le texte brut et le code source HTML sans savoir quelles parties sont invisibles pour le destinataire humain, sauf s’il a été explicitement entraîné ou instruit à ignorer le contenu caché. Inonder le message de remplissage neutre peut déplacer la lecture que fait le modèle de l’intention, du ton et du niveau de risque de l’e-mail — le modèle est influencé par un texte que l’utilisateur ne verra jamais. C’est l’image miroir de l’injection de prompt indirecte : au lieu de glisser des instructions dans un contenu que le modèle croit fiable, l’attaquant glisse du camouflage pour abaisser la méfiance du modèle. Le même écart — « l’IA lit ce que les humains ne voient pas » — sous-tend des menaces comme l’injection de prompt cachée dans les métadonnées de fichier.

L’IA générative aggrave le problème. Les attaquants peuvent générer automatiquement, gratuitement, un remplissage sans fin d’apparence naturelle : chaque message est unique et difficile à empreindre, et un seul lien dangereux peut se cacher dans une histoire invisible de 400 mots qui paraît calme et positive. L’impact reste borné — cela livre du phishing, cela n’exécute pas de code — traitez-le donc comme un problème d’évasion à haut volume, pas comme une compromission système.

Défenses

• Analysez ce que l’utilisateur voit réellement, pas seulement la source brute. Rendez le message et évaluez le contenu visible, afin que le texte en police zéro, hors écran ou rogné ne puisse pas gonfler l’entrée du classifieur. C’est la recommandation centrale de Barracuda.
• Signalez l’écart entre le contenu rendu et le contenu source. Un large écart entre le texte visible et le HTML sous-jacent est en soi un signal fort ; détectez et exposez l’abus de contenu caché plutôt que de noter la source à l’aveugle.
• Ne comptez pas sur les mots-clés ni sur un score mono-modèle. Combinez l’analyse de contenu avec la structure du message, la réputation de l’expéditeur, les résultats d’authentification, les anomalies comportementales et l’inspection des liens, pour qu’affaiblir un signal ne suffise pas à laisser passer le message.
• Instruisez les analyseurs LLM à ignorer le contenu non visible. Si un modèle doit lire du HTML brut, retirez ou pondérez à la baisse le texte de taille nulle, rogné ou hors cadre avant classification, et considérez comme suspect en soi un CSS de dissimulation inhabituel.
• Formez les utilisateurs. Le fait qu’une authentification passe (DKIM compris) ne signifie pas qu’un message est sûr ; associez l’outillage à une sensibilisation régulière aux appâts « récompenses » et « points qui expirent ».

Statut

Élément	Détail
Signalé par	Barracuda (Threat Spotlight, Pranati Sethy) ; corroboré par Cisco Talos
Première observation	Avril 2026 ; spotlight publié le 16 juillet 2026
Volume	1 000 000+ messages recensés
Appât	Phishing « récompenses / points / carte cadeau » à couleur retail
Classe	Évasion de détection des filtres e-mail IA/LLM via texte caché (« salé »)
Impact	Livraison de phishing — pas d’exécution de code

Le text salting rappelle que les classifieurs IA héritent d’un vieux problème du web : l’entrée du modèle, c’est la source, mais l’expérience de la victime, c’est le rendu. Toute défense qui note les octets sans tenir compte de ce qu’un humain verrait vraiment peut être diluée jusqu’à donner une mauvaise réponse.