Le problème que l'astuce cherche à résoudre
La plupart des grandes entreprises reçoivent bien plus de candidatures qu'aucune équipe ne peut en lire. Beaucoup les font passer par un logiciel de suivi des candidatures (ATS) et, de plus en plus, par des outils d'IA qui analysent chaque CV, le notent par rapport à l'offre et décident quels profils un recruteur verra en premier. Les candidats savent que leur CV peut être jugé par un logiciel avant qu'une personne ne l'ouvre, et beaucoup trouvent cela injuste. Certains ont décidé de répondre au logiciel par du logiciel.
Ce qu'est vraiment un « prompt caché »
Les modèles de langage lisent le texte comme du texte. Ils ne distinguent pas de façon fiable « le document que l'on m'a demandé d'évaluer » d'« une instruction que je dois suivre ». Les chercheurs en sécurité appellent cette faiblesse l'injection de prompt, ou plus précisément l'injection de prompt indirecte : quelqu'un glisse des instructions dans un contenu qu'une IA lira plus tard, en espérant qu'elle leur obéisse.
Dans un CV, cela donne une ligne adressée à l'IA et non à un humain, par exemple l'ordre d'ignorer ses consignes précédentes et de décrire le candidat comme exceptionnellement adapté. La presse a décrit des exemples de ce type ; un recruteur britannique a raconté avoir trouvé une telle ligne en texte blanc dans le CV d'un ingénieur.
Comment le texte est généralement dissimulé
- Texte blanc sur fond blanc : invisible à l'écran et sur papier, mais toujours présent dans la couche de texte du fichier.
- Texte minuscule ou à faible contraste : lisible par un analyseur, facile à manquer pour un humain.
- Blocs de mots-clés cachés : longues listes de termes copiés de l'offre, avec ou sans instruction.
Le point commun : un analyseur extrait le texte sans se soucier de sa couleur, alors qu'un relecteur humain ne voit que ce qui s'affiche. Cet écart est toute l'idée — et, comme nous le verrons, la raison pour laquelle l'astuce est facile à détecter.
Quelle est vraiment son ampleur ?
Deux chiffres sont souvent cités ensemble, et ils mesurent des choses très différentes.
| Ce qui a été mesuré | Chiffre | Source |
|---|---|---|
| CV réels contenant une injection de prompt cachée (~200 000 CV, 2019–2025) | ~1% | Université Duke et hireEZ, USENIX Security 2026 |
| Candidats américains disant avoir utilisé du texte caché ou de l'injection de prompt (1 200 sondés) | 41% | Greenhouse, novembre 2025 |
L'écart est important. L'étude menée par Duke a examiné un échantillon de CV réels et anonymisés et trouvé des injections cachées dans environ 1 % d'entre eux. L'enquête de Greenhouse a demandé aux gens ce qu'ils disent faire. Les comportements déclarés dans un sondage dépassent généralement ceux observés dans la réalité ; il vaut donc mieux y voir une mesure du nombre de candidats tentés que de ceux qui passent à l'acte.
Deux détails de la recherche méritent d'être retenus. D'abord, la part est faible mais pas négligeable, et les comptes rendus de l'étude la décrivent comme croissante. Ensuite, la plupart des injections trouvées ne ressemblaient pas à des ordres grossiers du type « embauchez ce candidat » ; beaucoup étaient plus subtiles, ce qui signifie qu'un filtre cherchant seulement des formulations évidentes les manquerait. Les auteurs ont aussi mis en garde contre le fait de supposer une intention malveillante dans tous les cas, car un candidat peut hériter de texte caché d'un modèle de CV.
Est-ce que ça marche vraiment ?
Personne n'a montré que cela fonctionne de façon fiable. L'article de Duke a mesuré la fréquence des prompts cachés ; il n'a pas testé si l'un d'eux avait modifié un résultat d'embauche réel. D'autres expériences en laboratoire montrent que certains classements par IA peuvent être influencés par du texte injecté dans des conditions contrôlées, mais un montage de laboratoire n'est pas un véritable processus de recrutement.
Les processus réels sont composés de couches. Un système typique extrait le texte, le range dans des champs structurés, le note et montre souvent au recruteur à la fois le document d'origine et le résultat de l'analyse. Chaque couche est une occasion de repérer l'astuce, et chacune a des raisons de le faire :
- La détection s'améliore. Les chercheurs ont conçu des détecteurs adaptés aux CV qui surpassent les détecteurs généralistes d'injection de prompt, et les éditeurs ont tout intérêt à intégrer les mêmes contrôles. Le texte blanc, quasi blanc ou minuscule se signale facilement.
- Les humains voient la couche de texte. Copier un CV dans un autre outil, le convertir en texte brut ou tout sélectionner dans un PDF révèle ce que la page cache.
- Les employeurs réagissent mal. Les recruteurs qui découvrent du texte caché y voient généralement de la malhonnêteté. Certaines entreprises disent l'écarter ou alerter un recruteur, et des candidats rapportent avoir été refusés une fois le texte découvert.
Par ailleurs, la tactique n'apporte rien si la personne ne correspond pas au poste. Une ligne cachée peut au mieux modifier le calcul d'un score ; elle ne vous rend pas capable de faire le travail, et l'entretien le vérifiera de toute façon.
Les risques pour le candidat
- Rejet automatique ou humain. Un texte caché détecté peut mettre fin à une candidature sur-le-champ.
- Un problème de confiance dont on ne se sort pas par la parole. Les recruteurs partagent leurs notes et leurs viviers. Une telle mention peut vous suivre au sein d'une entreprise ou d'un cabinet.
- Pénalités pour bourrage de mots-clés. Des murs de mots-clés cachés peuvent déclencher les mêmes contrôles de qualité qui font baisser le score de CV honnêtes.
- Déclaration trompeuse. Dire à un outil de tri de vous noter haut est une tentative de manipuler l'évaluation. Que cela enfreigne ou non les conditions d'un employeur donné varie, mais beaucoup y verront un motif de rejet ou, s'ils s'en aperçoivent plus tard, de douter de votre honnêteté.
Que faire à la place : des moyens légitimes de passer un tri par IA
La version honnête du même objectif consiste à rendre vos qualifications réelles faciles à lire pour les logiciels comme pour les personnes. C'est là que se trouvent les vrais gains.
- Reprenez le vocabulaire de l'offre, honnêtement. Utilisez les termes de l'employeur pour les compétences et les outils que vous maîtrisez vraiment, dans un texte visible, au sein de phrases décrivant ce que vous avez fait. Notre guide sur la recherche sur l'entreprise et le poste montre où trouver ce langage.
- Rendez le fichier lisible par une machine. Une seule colonne, des intitulés de section standard, du vrai texte plutôt que des images ou des zones de texte, et une police courante. Les analyseurs échouent bien plus souvent sur des mises en page sophistiquées que sur autre chose.
- Chiffrez vos résultats. Les chiffres et les résultats donnent à un modèle comme à un humain quelque chose de concret à classer. La méthode STAR vaut aussi bien pour les puces d'un CV que pour les réponses en entretien.
- Adaptez le premier tiers. Un résumé court et précis et un bloc de compétences alignés sur le poste pèsent le plus dans la notation automatique.
- Ne comptez pas que sur le portail. Une recommandation, un message au responsable du recrutement ou une candidature précoce contournent entièrement le filtre.
- Préparez la suite. Passer le tri n'a d'intérêt que si vous êtes bon en entretien, y compris dans les premiers tours menés par l'IA. Consultez notre guide complet de préparation aux entretiens et la façon dont les outils d'IA peuvent vous aider à vous entraîner.
Réponses rapides
Les logiciels ATS lisent-ils le texte blanc d'un CV ?
Généralement oui. L'extraction de texte ignore le plus souvent la couleur : le texte blanc est donc lu comme n'importe quel autre. C'est ce qui rend l'astuce tentante, et c'est aussi pourquoi les outils de détection et les vérifications humaines peuvent la repérer.
Cacher des mots-clés dans un CV, est-ce la même chose que l'injection de prompt ?
Pas exactement. Le bourrage de mots-clés cachés cherche à gonfler les scores de correspondance ; un prompt caché cherche à donner des ordres à une IA. Les deux reposent sur du texte qu'un humain ne voit pas, et les deux sont largement jugés trompeurs.
Le texte caché me vaudra-t-il plus d'entretiens ?
Rien ne prouve que ce soit le cas, alors qu'il est établi qu'une candidature peut être rejetée si le texte est découvert. Des mots-clés visibles, pertinents et honnêtes, avec une mise en forme propre, sont l'investissement le plus sûr.
Puis-je plutôt utiliser l'IA pour améliorer mon CV ?
Oui. Utiliser l'IA pour resserrer la formulation, vérifier la clarté ou comparer votre CV à une offre est tout à fait acceptable, à condition que tout ce qui figure sur la page soit vrai et visible pour le lecteur.
En résumé
Cacher des prompts pour l'IA dans un CV répond à une frustration réelle : le tri automatisé peut ressembler à une boîte noire. Mais c'est un pari minuscule, non prouvé et risqué. Au mieux, il déplace un score ; au pire, il transforme une candidature qualifiée en candidature signalée. La voie fiable est la plus banale : un CV sincère et bien structuré qui parle le langage du poste, suivi d'une solide préparation aux entretiens.