Les logiciels suivaient autrefois une formule économique simple : dépenser beaucoup pour construire, puis ne presque rien dépenser pour servir chaque client supplémentaire. L'IA générative a bouleversé ce modèle. Chaque requête, chaque image générée, chaque tâche agentique coûte réellement de l'argent à produire, et les fraudeurs ont trouvé comment faire payer l'addition à quelqu'un d'autre.

La société de paiements Stripe tire la sonnette d'alarme sur ce qu'elle appelle le « vol de tokens », une tactique de fraude ciblant les modèles de facturation à l'usage des entreprises d'IA, dans lesquels les clients sont facturés selon leur consommation réelle. Les criminels créent de faux comptes, épuisent des tokens ou crédits API coûteux, puis disparaissent avant que quiconque puisse encaisser le paiement.

L'ampleur du problème

Les entreprises d'IA par abonnement ont enregistré une hausse de 40 % des tentatives d'abus multi-comptes en seulement six mois, selon les chiffres mis en avant par Stripe. Certains segments de l'industrie de l'IA ont vu ces tentatives bondir de plus de 600 %.

Au niveau des transactions, les entreprises d'IA font face à des taux de fraude 4,3 fois supérieurs à ceux d'une startup moyenne. Même après la mise en place de contre-mesures, ce chiffre ne descend qu'à 2,6 fois la norme. Environ une inscription de nouveau client sur six dans le secteur de l'IA est liée au vol de tokens. Le facteur temps aggrave les dégâts : comme l'usage volé est consommé en temps réel sur l'infrastructure même du fournisseur, les pertes surviennent avant tout encaissement, et il n'existe aucun produit à récupérer ensuite.

Le PDG de Stripe, Patrick Collison, a décrit cette tendance comme l'un des risques les plus négligés du paysage de l'IA. Les agents automatisés, souligne-t-il, permettent aux voleurs d'épuiser les budgets à un rythme que les équipes anti-fraude humaines ne peuvent tout simplement pas suivre en temps réel.

Pourquoi l'IA est particulièrement vulnérable

Les entreprises traditionnelles de logiciel en tant que service pouvaient se permettre d'être génére avec les essais gratuits, car le coût marginal d'un utilisateur supplémentaire tend vers zéro. Les entreprises d'IA opèrent selon une économie fondamentalement différente. Chaque requête adressée à un grand modèle de langage consomme du calcul, chaque génération d'image mobilise des cycles GPU, et chaque flux de travail agentique enchaîne plusieurs appels d'inférence coûteux.

Les crédits d'IA volés ont également une véritable valeur de revente sur les marchés secondaires, où les acheteurs peuvent accéder à des capacités d'IA premium pour une fraction du prix de détail — ce qui fait précisément des crédits gratuits et des essais offerts par les entreprises d'IA pour attirer les développeurs une cible si tentante.

ElevenLabs, l'entreprise de génération de voix par IA, est en première ligne de cette bataille. La société déclare bloquer des milliers de comptes frauduleux chaque jour juste pour maintenir les pertes à un niveau gérable.

La réponse de Stripe

Stripe a mis à jour son outil de détection de fraude Radar spécifiquement pour répondre au problème du vol de tokens. Radar, la suite de prévention de la fraude basée sur l'apprentissage automatique utilisée par les entreprises sur sa plateforme de paiement, a bloqué plus de 3,3 millions d'inscriptions à haut risque pour seulement huit entreprises d'IA en un seul mois.

Cette approche cible la couche d'inscription plutôt que la couche de paiement. Le vol de tokens doit être stoppé avant que les acteurs malveillants n'atteignent le produit, car au moment où ils ont utilisé le service, les dégâts sont déjà faits. Alors que les tentatives d'abus continuent d'augmenter dans tout le secteur, l'ampleur de la diffusion des défenses au niveau de l'inscription comme celles de Radar parmi les entreprises d'IA — et l'évolution des chiffres de la fraude une fois qu'elles se seront généralisées — constitue l'un des sujets opérationnels à suivre à mesure que la facturation à l'usage de l'IA arrive à maturité.