Apate déploie des agents IA sous couverture pour recueillir du renseignement sur les arnaques

La start-up australienne Apate affirme déployer des milliers d’agents d’IA qui se font passer pour des victimes crédibles d’arnaques afin de recueillir du renseignement sur la fraude. D’après TechCrunch, l’entreprise a été fondée en 2024 à partir de travaux de recherche menés à la Macquarie University de Sydney. Ses agents peuvent répondre à des appels frauduleux, réagir à des messages et courriels suspects, suivre des liens de phishing et entrer dans des groupes sur les réseaux sociaux ou liés à l’investissement où une activité frauduleuse pourrait être en train de se structurer. L’objectif affiché n’est pas seulement de faire perdre du temps aux escrocs, mais aussi d’extraire des informations que les organisations peuvent utiliser pour prévenir la fraude plus tôt dans la chaîne d’attaque.

L’argument commercial de l’entreprise est qu’une grande partie du travail anti-fraude intervient trop tard. Dans le récit de TechCrunch, Brad Joffe, cofondateur et directeur commercial d’Apate, oppose ce modèle à celui des opérateurs télécoms qui bloquent des numéros après coup ou des banques qui surveillent les transactions une fois que le contact avec un client a déjà eu lieu. Apate affirme au contraire aller directement vers l’escroc. Ses agents sont présentés comme des identités fabriquées, avec des âges, des genres, des accents et des langues variés, conçues pour faire durer les conversations assez longtemps afin de faire émerger des informations utiles.

Comment le système est censé fonctionner

À travers les appels, les SMS, le courriel et le web, Apate affirme que ses bots interagissent avec les fraudeurs en temps réel, puis structurent ce qu’ils apprennent pour leurs clients. TechCrunch indique que les informations recherchées peuvent inclure des comptes bancaires, des adresses de portefeuilles crypto, des numéros de téléphone, des sites web malveillants et les marques usurpées. Sur son propre site, Apate présente le même processus comme un moyen de mettre au jour les comptes, les infrastructures et les tactiques dont dépendent les escrocs. L’entreprise affirme que cela peut aider les équipes anti-fraude à perturber des opérations avant qu’elles n’atteignent les clients.

Apate affirme également que les clients peuvent confier des missions précises à ses agents. TechCrunch rapporte que des clients peuvent, par exemple, leur demander d’obtenir un numéro de compte bancaire ou l’adresse d’un portefeuille crypto. Le site de l’entreprise élargit cette logique à plusieurs cas d’usage : identification et suivi de réseaux de mules, détection de campagnes de phishing et d’usurpation d’identité, appui aux opérations anti-fraude en temps réel, et production d’éléments probants pour le signalement et la conformité. Dans ces descriptions, Apate présente ses résultats comme du renseignement structuré, horodaté et exportable, susceptible de s’intégrer à des flux de travail existants en matière de fraude ou de sécurité.

• Interaction avec des escrocs présumés par téléphone, SMS, courriel, web et canaux sociaux
• Utilisation d’identités fabriquées pour prolonger les échanges et recueillir des détails opérationnels
• Transformation de ces échanges en renseignement sur les circuits de paiement, les scripts, les numéros de téléphone et les sites web
• Alimentation des enquêtes clients, des opérations de démantèlement et des processus de signalement avec ce renseignement

L’entreprise affirme que l’échelle constitue un élément central de sa proposition. Sur son site, Apate explique que le scam-baiting manuel et la collecte de renseignement menée par des humains sont coûteux, irréguliers et difficiles à étendre à mesure que les volumes de fraude augmentent. Sa thèse est que l’IA peut transformer une activité qui, autrement, se limiterait à quelques dizaines d’échanges manuels en milliers d’interactions simultanées, à travers plusieurs langues, canaux et fuseaux horaires.

Ce qu’Apate dit avoir observé jusqu’ici

TechCrunch rapporte qu’Apate affirme que ses agents ont jusqu’ici consommé l’équivalent de 17 années de temps d’escrocs au fil de 2,5 millions de conversations. Ces chiffres proviennent des propres déclarations de l’entreprise. Le même article indique que le client télécom TPG a redirigé près de 590 000 appels vers les agents d’Apate, que la Commonwealth Bank of Australia a constaté une baisse de 76 % des pertes liées aux arnaques publiquement signalées, et qu’une banque australienne non nommée a utilisé les agents sortants d’Apate pour perturber 22 campagnes d’arnaque. La source attribue ces affirmations à Joffe.

Certaines de ces affirmations de performance doivent être lues avec prudence. TechCrunch les rapporte comme des déclarations d’Apate plutôt que comme des résultats vérifiés de manière indépendante, et les éléments disponibles ne fournissent pas de méthodologie établissant un lien direct entre l’ensemble des résultats et le système d’Apate. En particulier, l’affirmation concernant la Commonwealth Bank of Australia renvoie à une baisse des pertes liées aux arnaques publiquement signalées, mais le texte source ne détaille pas le lien de causalité. Une lecture prudente consiste donc à dire qu’Apate affirme que ses clients utilisent ce renseignement pour éclairer leurs mesures anti-fraude, et que l’entreprise associe ces mesures à des résultats concrets.

TechCrunch replace également la jeune pousse dans un contexte plus large : les escrocs eux-mêmes utilisent de plus en plus l’IA. L’article cite des chiffres du FBI selon lesquels l’agence a reçu plus de 22 000 plaintes pour des crimes liés à l’IA en 2025, pour environ 893 millions de dollars de pertes, dont plus de 632 millions de dollars liés à des arnaques à l’investissement. Dans ce cadre, le modèle d’Apate apparaît comme une tentative d’utiliser l’automatisation non seulement pour la détection, mais aussi pour la collecte active de renseignement au sein même des conversations frauduleuses.

Clients, périmètre produit et garde-fous annoncés

S’agissant des clients, les noms les plus clairement mentionnés dans les sources sont Commonwealth Bank of Australia et TPG Telecom. TechCrunch indique aussi qu’Apate sert d’autres services publics, entreprises télécoms et agences gouvernementales. Le site de l’entreprise positionne de façon répétée son offre pour les équipes fraude et renseignement au sein des institutions financières et des opérateurs de télécommunications, avec des bénéfices qui s’étendraient au reporting réglementaire, à la collaboration avec des partenaires et aux investigations en direct. Il suggère aussi que le trafic frauduleux redirigé peut devenir une source de renseignement, et non plus seulement quelque chose à bloquer.

Quant aux garde-fous, les sources les décrivent surtout en termes opérationnels plutôt qu’éthiques. Apate affirme que les appels frauduleux peuvent être redirigés « en toute sécurité » vers des environnements « contrôlés » ou « isolés », de manière à protéger les clients tout en laissant les escrocs être engagés dans l’échange. Le site indique également que cela peut se faire sans perturber les appels légitimes, les performances du réseau ou l’expérience client. En outre, il décrit le renseignement obtenu comme structuré et horodaté, ce qui crée une piste d’audit que les institutions peuvent utiliser pour démontrer aux régulateurs qu’elles agissent de manière proactive.

Cela étant dit, les textes disponibles n’énoncent pas de garde-fous détaillés sur des sujets tels que les seuils de supervision humaine, les règles d’escalade, la gestion des erreurs des modèles ou les limites de l’usurpation pratiquée par les bots. Les garde-fous explicitement présents dans les sources restent donc relativement étroits : isolement du trafic suspect, protection des utilisateurs finaux contre une exposition directe, et existence d’enregistrements exploitables pour l’audit, la conformité et le contrôle. Aller au-delà reviendrait à dépasser le contenu fourni.

Origines dans la recherche et financement

Selon TechCrunch, l’histoire d’origine de l’entreprise commence avec son fondateur et directeur général Dali Kaafar, qui aurait maintenu un appel frauduleux pendant 44 minutes lors d’un pique-nique familial, avant de se demander si ce processus pouvait être automatisé de manière utile. La publication explique que cette idée est ensuite devenue un sujet de recherche à la Macquarie University, mobilisant apprentissage automatique et traitement du langage naturel pour mettre au jour le contenu des appels frauduleux et améliorer la détection comme la prévention. Apate affirme utiliser aujourd’hui à la fois des modèles de pointe et ses propres modèles affinés, entraînés sur des conversations que ses agents ont eues avec des escrocs ainsi que sur les recherches antérieures de Kaafar.

Des investisseurs ont soutenu cette thèse. TechCrunch rapporte qu’Apate a levé 8,15 millions de dollars en financement d’amorçage en août auprès de Lobby Capital, OIF Ventures, Investible, Concept Ventures et Baobab Ventures. Joffe a indiqué à la publication que l’entreprise, qui compte 20 personnes, a levé au total un peu moins de 10 millions de dollars. D’après la même source, ce financement récent doit servir au développement produit et à l’expansion internationale, notamment avec un bureau à Londres et une présence renforcée aux États-Unis.

Pour les entreprises anglophones, le changement pratique décrit par ces sources correspond à un basculement d’une approche principalement fondée sur le blocage et la réaction face aux arnaques vers une alimentation des opérations anti-fraude par du renseignement en temps réel, au niveau même des conversations. Banques, opérateurs télécoms, services publics et organismes du secteur public pourraient utiliser ces informations pour repérer plus tôt des campagnes d’usurpation, enrichir des investigations, appuyer des opérations de démantèlement et produire des traces de conformité. Sur la base des éléments disponibles, la promesse d’Apate n’est pas de faire disparaître les arnaques, mais de donner aux organisations une visibilité plus précoce sur le mode opératoire des réseaux frauduleux et des preuves plus directement exploitables avant que des clients ou des salariés ne soient lésés.