La nuit où ma base d’utilisateurs a été submergée par des inscriptions frauduleuses, j’ai dû réagir vite pour préserver la disponibilité et la réputation de mon site WordPress. Les spammeurs ont injecté des messages dans le champ « nom d’utilisateur » et déclenché des milliers d’e-mails d’inscription. J’ai mobilisé deux agents d’IA pour diagnostiquer et réparer le système, puis j’ai déployé un correctif en production. Cet article décrit le cheminement technique et les résultats obtenus avec Claude et Codex.
Comment les attaques ont-elles contourné les protections existantes ?
Au départ, le plugin antispam en place semblait faire le travail. Pourtant, des inscriptions massives ont continué à apparaître dans la base de données. Les spammeurs exploitaient des champs inattendus pour injecter du contenu et contourner les contrôles habituels.
Les attaques ciblées visaient plusieurs points d’entrée du site, pas seulement le formulaire d’inscription visible. L’API REST, XML-RPC et admin-ajax offraient des surfaces exploitées. Il a fallu analyser l’ensemble pour comprendre comment les validations étaient court-circuitées.
Quels indices l’IA a-t-elle trouvés dans les données ?
J’ai importé des milliers d’enregistrements dans Claude pour chercher des motifs récurrents. L’IA a mis en évidence des noms d’utilisateurs générés automatiquement et des signatures d’URL dans les biographies. Ces éléments se répétaient suffisamment pour constituer des règles heuristiques fiables.
Claude a aussi repéré des adresses e-mail malformées et des métadonnées anormales. Ces signaux ont servi de base pour enrichir la détection automatique. La combinaison d’indices a permis de réduire les faux positifs lors du nettoyage.
Ensuite, j’ai demandé à Claude d’exporter des listes de comptes suspects avec des scores de confiance. Ces listes ont guidé les tests de suppression et les règles d’automatisation. Vous pourrez reproduire ce type d’analyse sur vos propres bases.
Quelles corrections techniques avons-nous déployées ?
Après diagnostic, Codex a généré et intégré plusieurs correctifs destinés à fermer les voies de contournement. Le premier objectif a été d’instaurer un CAPTCHA systématique sur tous les points d’inscription ouverts. Il était essentiel de normaliser la couche d’authentification face aux requêtes automatisées.
Un autre volet a consisté à enrichir la détection par signaux. Claude et Codex ont défini des règles supplémentaires basées sur :
- la présence d’URL dans des champs inattendus,
- la validation stricte des formats d’e-mail et des enregistrements MX,
- la vérification contre des listes noires externes comme StopForumSpam.
Enfin, j’ai intégré un outil complet de nettoyage capable d’analyser et de supprimer par lots les comptes spam avec reprise possible. L’interface a été enrichie pour permettre des opérations sûres depuis le navigateur.
Combien de code et de temps cela a-t-il représenté ?
Le travail a engendré un ajout net de plus de 4 500 lignes de code et la création d’environ 138 fonctions procédurales. Le week-end de programmation a été très dense et rythmé par tests et ajustements. Le résultat final intègre aussi des éléments d’interface et des routines de validation.
Sur le plan humain, la même charge de travail aurait pris plusieurs semaines à un développeur seul. L’utilisation conjointe de Claude pour l’analyse et Codex pour la génération de code a compressé ce délai en un cycle de 48 heures.
Tableau des résultats techniques
| Métrique | Avant | Après |
|---|---|---|
| Comptes utilisateur | 39 314 | 24 245 |
| Enregistrements méta | 723 799 | 448 232 |
| Lignes de code ajoutées | — | 4 700 |
| Fonctions nouvelles | — | 138 |
Quelle combinaison d’outils d’IA s’est montrée la plus efficace ?
La stratégie a reposé sur un duo complémentaire : Claude pour l’analyse de données et la découverte d’indices, Codex pour la génération et le test rapide du code. Cette complémentarité a permis d’accélérer les allers-retours entre diagnostic et correctif.
J’ai privilégié Claude pour les tâches non codantes lourdes, car il disposait d’un quota d’utilisation plus confortable. Codex a été sollicité pour produire et intégrer des patchs directement exploitables dans le plugin WordPress.
Comment gérer les limites d’utilisation et les crédits des IA ?
Durant l’intervention, les limites d’utilisation sont devenues contraignantes à plusieurs reprises. Codex a affiché des messages de saturation qui m’ont forcé à utiliser des réinitialisations. Ces dernières ont fourni des fenêtres supplémentaires de programmation sans coût immédiat.
La logique des crédits et des jetons reste complexe. J’ai demandé des estimations à Codex et il a calculé l’usage global en jetons. Selon les évaluations, la session complète aurait coûté moins cher en facturation API qu’un abonnement Pro prolongé, mais la tarification n’est pas toujours triviale à anticiper.
Dans la pratique, la meilleure décision pour une intervention prolongée reste de choisir un forfait adapté à l’intensité d’usage. Une montée temporaire en forfait Pro aurait évité les interruptions, mais j’ai réussi à mener le projet sans surcoût majeur grâce aux réinitialisations disponibles.
Peut-on vraiment laisser l’IA agir sans supervision humaine ?
Non, la supervision demeure impérative. Claude a proposé une instruction initiale qui aurait pu causer des dégâts si je l’avais appliquée sans vérification. La relecture humaine a permis d’éliminer les erreurs critiques et d’orienter Codex de manière sûre.
La collaboration idéale combine la vitesse des agents d’IA et l’expérience humaine pour valider, tester et prioriser. J’ai travaillé plus de vingt heures ce week-end en pilotant les IA, corrigeant et testant chaque itération avant déploiement.