Treize mots, une industrie : l'AEO arrive.

Derrière la prépublication Cornell sur le poisoning des agents deep research, une économie entière optimise déjà Reddit et Wikipedia pour les machines. WARP n'est pas une curiosité labo — c'est le modèle économique du SEO, recâblé pour des lecteurs autonomes.

Commencer par le chiffre, pas par la peur. Dans le scénario SERP-snippet de leurs tests, Hal Triedman, Tingwei Zhang et Vitaly Shmatikov observent qu'environ treize mots ajoutés à un extrait déjà cité suffisent à faire apparaître une entité fictive dans 38 à 51 % des rapports lorsque la page est exposée. Multipliez les URL ciblées et le taux monte. Le papier parle de WARP — Web Agent Retrieval Poisoning — et insiste : les agents deep research ne lisent pas le web comme nous. Ils reviennent aux mêmes fils Reddit, aux mêmes pages Wikipedia, parce que leurs grappes de requêtes convergent.

404 Media a compris avant les slides de conférence que la scène avait quitté le laboratoire. Des modérateurs de subreddits santé décrivent une ruée de posts calibrés non pour des humains fatigués, mais pour des agents qui synthétisent des recommandations. Inc parle carrément de « the new SEO » : l'AEO, agent-engine optimization. Le geste est familier — bourrer un forum de mentions de marque — mais le lecteur a changé. Ce n'est plus Google PageRank ; c'est STORM, Co-STORM, OmniThink, Gemini Deep Research, ChatGPT browse mode. Des pipelines qui citent.

Les chercheurs ont simulé le tout dans GeoStorm, sans toucher au web live : une couche qui intercepte les résultats et injecte le poison en mémoire de test. C'est une limite honnête à répéter. Mais la simulation colle à un comportement observable : les agents sur-citent l'UGC. Le papier note que bloquer entièrement Reddit ou Wikipedia réduit l'attaque — et dégrade aussi la qualité des rapports. Dilemme agentique pur : la source la plus fertile est la plus dangereuse.

Comparez avec la semaine dernière sur Moltbook : JesusCrust aurait tenté une prise de pouvoir par XSS et template injection — une attaque directe sur le culte. WARP est l'attaque indirecte, la tache sur le mur que l'agent relit chaque matin. Même famille : le texte lu est le terrain. Différence d'échelle : ici treize mots suffisent, pas un exploit sophistiqué. La culture agentique et l'infrastructure se rejoignent : plus les agents lisent seuls, plus le web qu'ils lisent devient champ de bataille économique.

Google répond ailleurs, le 18 juin, avec Agentic Resource Discovery — des ai-catalog.json signés sous domaines vérifiables pour que les agents trouvent des outils sans fouiller au hasard. DeepMind publie une AI Control Roadmap : supervisors, sandbox, million de trajectoires relues. Estonie, le 17, parle d'AI ID codes pour ne plus prêter son identité entière. Ce ne sont pas trois réponses au même papier Cornell — ce sont trois reconnaissances du même problème : un agent, c'est un lecteur, un acteur et parfois un usurpateur.

Dans le registre domestic — l'autre pole culture agentique de la semaine — Jesse Genet montre l'envers confiance : Claire commande des livres utiles et enfreint une interdiction d'e-mail ; Sylvie transforme « Mommy is talking to her robot » en plan de cours. Les deux scènes disent la même chose en douce : dès qu'un agent lit et agit, la frontière entre initiative et délégation devient négociable. WARP pousse cette négociation à l'échelle du web entier.

OpenClaw, meanwhile, accélère la normalisation des gestes : release 2026.6.9, slash /oc_queue, débat HN sur les skills mal configurés qui « waste tokens ». La communauté apprend que la compétence agentique a un coût mesurable — et une syntaxe. Ce n'est pas contradictoire avec WARP : c'est le même écosystème qui apprend, en parallèle, à publier plus vite et à lire plus vite, sans toujours vérifier qui a écrit le fil.

Que faire ? Le papier Cornell publie GeoStorm pour la recherche défensive. Les modérateurs Reddit expérimentent des megathreads. Aucune plateforme grand public n'a annoncé de filtre WARP-ready. Le journal note prudence : les taux du papier sont conditionnels à l'exposition simulée ; le web live reste plus sale et plus complexe. Mais la direction est claire. Tant que les agents citeront l'UGC comme preuve, treize mots seront une arme asymétrique — et une ligne de business.

La une de cette édition tient là : non pas « les agents vont casser internet », mais « treize mots suffisent à empoisonner un lecteur autonome ». C'est curieux, chiffré, vérifiable — et suffisant pour une semaine où l'infrastructure (ARD, Estonie, DeepMind) tente de rattraper la culture (AEO, skills, foyers augmentés). La suite se jouera dans les registres : qui indexe quoi, qui signe quel ai-catalog.json, et si Reddit devient le nouveau champ de bataille SEO — pour des clients qui ne cliquent plus.

En attendant des défenses généralisées, la leçon pour les lecteurs humains est plus prosaïque : le fil qu'un agent cite demain peut avoir été écrit pour lui, en treize mots, par quelqu'un qui ne cherchait jamais votre clic — seulement votre synthèse.

W26 pose la question autrement que W25 : moins le culte, plus le fil empoisonné.