- Le développeur de NanoClaw, qui compte 18 000 étoiles sur GitHub, a révélé qu’en recherchant le nom du projet sur Google, un faux site apparaît mieux classé que le site officiel
- Un faux site généré automatiquement (nanoclaw[.]net), créé par quelqu’un qui a scrapé le README du projet, occupe la 2e place des résultats Google, tandis que le véritable site officiel n’apparaît même pas après la 5e page
- Malgré toutes les démarches légitimes entreprises — optimisation SEO, soumission à Google Search Console, obtention de liens depuis de grands médias IT — les résultats de recherche Google n’ont pas changé
- Comme du code malveillant ou des liens de phishing pourraient être insérés dans le faux site, la plus grande vulnérabilité de sécurité de ce projet conçu autour de la sécurité est devenue la recherche Google elle-même
- Si Google est incapable d’afficher le bon résultat même lorsque tous les signaux pointent clairement vers une seule réponse, c’est la fiabilité même de Google comme porte d’entrée de l’information sur Internet qui est remise en question
Le projet NanoClaw et l’origine du problème du faux site
- NanoClaw est un projet open source conçu selon une approche security-first, où tous les agents s’exécutent dans des conteneurs isolés, avec un runtime sandboxé sécurisé comme élément central
- Après son lancement le 2 février, le projet a connu une croissance rapide et a été couvert par de grands médias comme CNBC, VentureBeat et The Register
- Au début, il n’y avait pas de site web dédié : le dépôt GitHub était le projet à lui seul, l’équipe se concentrant sur le développement des fonctionnalités et la communauté
- Vers le 8 février, quelqu’un a enregistré le domaine nanoclaw[.]net et créé un site généré automatiquement à partir de contenus scrapés du README
- Au départ, le site incluait les bons liens vers GitHub, ce qui n’a pas été perçu comme un problème majeur
L’extension des dégâts causés par le faux site
- À mesure que le projet grandissait, de plus en plus d’utilisateurs ont commencé à envoyer des signalements du type « il y a une erreur sur votre site », « est-ce qu’il y a des pubs sur le site ? », ou « pourquoi l’affichage est-il comme ça sur mobile ? »
- Ce site publie des informations inexactes sur le projet et falsifie même les dates de publication
- Des milliers d’utilisateurs prenaient ce site pour le site officiel, et leur première impression de NanoClaw devenait celle d’une page médiocre saturée de publicités
- Le préjudice s’accumule chaque jour, et il est possible que plusieurs centaines de milliers de personnes aient déjà été exposées à des informations erronées
Création du site officiel et efforts de réponse SEO
- Il y a deux semaines, le site officiel nanoclaw.dev a été lancé et toutes les mesures possibles ont été prises
- ajout du lien vers le site officiel depuis le dépôt GitHub
- mise en place de données structurées et d’une optimisation SEO appropriée
- environ 15 soumissions à Google Search Console
- obtention de liens vers le vrai site depuis des articles de médias comme The Register, VentureBeat et The New Stack
- publication d’un billet de blog arrivé n°1 sur Hacker News
- traduction du site en 15 langues
- redirection de tous les profils sociaux vers nanoclaw.dev
- envoi de demandes de retrait (takedown notices) à Google, Cloudflare et au registraire spaceship.com
- Tous les signaux présents sur Internet désignent nanoclaw.dev comme le site officiel, mais les résultats Google ne changent pas
Le problème structurel de la recherche Google
- Dans le champ website du dépôt GitHub NanoClaw, qui arrive en 1re position sur Google, nanoclaw.dev est explicitement indiqué
- Malgré cela, Google continue d’afficher le faux site au-dessus du site officiel
- Des experts SEO ont conseillé de « gagner au SEO » ou « d’acheter des Google Ads », mais le simple fait qu’un développeur open source doive mener une guerre du SEO sur le nom de son propre projet est déjà problématique
- Ce n’est pas un problème de SEO, c’est un problème de Google
Risques de sécurité
- NanoClaw est un projet centré sur la sécurité, focalisé sur la sûreté et le sandboxing du runtime d’agents
- À l’heure actuelle, la plus grande vulnérabilité de sécurité du projet est la recherche Google elle-même
- L’exploitant du faux site peut à tout moment y insérer une arnaque crypto, une page de phishing ou un lien de téléchargement malveillant
- Il pourrait aussi forker le dépôt GitHub pour y injecter du code malveillant, puis y renvoyer depuis le faux site que Google présente comme légitime
- Google rend cette situation possible en temps réel, comme un risque de sécurité actif
Une remise en cause fondamentale de la fiabilité de Google
- Même pour une requête dont le projet lui-même déclare clairement la bonne réponse, où tous les signaux convergent et où il n’existe aucune ambiguïté, Google est incapable de fournir le bon résultat
- Cela soulève une question fondamentale : peut-on faire confiance à Google pour des informations importantes sur les élections, les vaccins, la santé ou la finance ?
- Il faut cesser de se reprocher des meta tags imparfaits ou un format de favicon non optimal : lorsque Google dispose de signaux abondants et clairs mais affiche quand même un mauvais résultat, c’est la responsabilité de Google
- Si Google veut conserver sa position de porte d’entrée de l’information sur Internet, il doit être capable de résoudre ce type de problème élémentaire
Aucun commentaire pour le moment.