Un filtre anti-spam IA dans votre boîte, entraîné par vous seul

Le filtre anti-spam d’une boîte Nisdos Mail est un classifieur d’apprentissage automatique qui vit dans la boîte elle-même, chiffré avec la même clé que vos messages, et il apprend d’une seule source : le courrier que vous marquez comme spam et celui que vous marquez comme voulu. Rien d’autre ne l’entraîne. Pas de corpus partagé, pas de signaux inter-comptes, pas de profil de vous rangé dans une base avec une durée de conservation attachée.

Nous l’avons livré en juillet 2026 avec une page d’état, parce qu’un filtre qui prend des décisions sur votre courrier vous doit une explication de la façon dont il les a prises.

Comment fonctionnent habituellement les filtres anti-spam à IA ?

Sur les serveurs du fournisseur, sur le courrier de tout le monde à la fois. Le filtre de Gmail est l’implémentation de référence de cette approche : un modèle entraîné en continu sur un corpus énorme de messages, ce qui explique à la fois sa qualité et le fait qu’il s’améliore pour vous quand un inconnu dans un autre pays signale une campagne. Le courrier est la donnée d’entraînement, et la machinerie doit le lire pour fonctionner.

C’est de l’ingénierie honnête, avec un coût réel. Le taux de détection vient de la centralisation : on ne peut donc pas déplacer ce filtre dans votre boîte sans abandonner ce qui le rend fort. Vous ne pouvez pas non plus l’inspecter, le corriger durablement, ni l’emporter avec vous.

Qu’est-ce qu’un filtre propre à votre boîte fait autrement ?

Il échange le corpus mondial contre votre propre jugement, et il garde le modèle là où se trouve votre courrier. Le classifieur est un modèle de texte bayésien naïf — des statistiques bien comprises, assez petites pour tenir à côté de l’état de votre boîte — sur des jetons pris dans l’objet et le corps visible, plus quelques indices structurels comme le domaine de l’expéditeur ou la présence d’une pièce jointe.

Le modèle est stocké comme un objet du plan de données, écrit par la même couture de chiffrement que vos messages : il hérite donc du niveau de garde de votre boîte. Sous garde côté appareil, le serveur ne peut pas le lire du tout. Il est aussi entièrement reconstructible à partir de votre courrier étiqueté, ce qui fait de sa perte un désagrément plutôt qu’une perte de données.

Le compromis mérite d’être nommé franchement : un modèle personnel part de rien et ne connaît que ce que vous lui avez appris, donc il n’égalera jamais le taux de détection à froid de Gmail sur une boîte neuve. Ce qu’il fait à la place, c’est apprendre votre définition de l’indésirable, ce qu’un modèle mondial ne peut structurellement pas faire. La campagne de recrutement que l’un classe sans hésiter est le courrier qu’un autre attendait.

Comment apprend-il ce que vous considérez comme du spam ?

Par deux clics. « Marquer comme spam » lui enseigne le spam, « Non spam » lui enseigne le courrier voulu, et inverser une étiquette désapprend la leçon précédente. Le marquage est idempotent : le modèle retient quels messages l’ont entraîné, donc réentraîner deux fois le même courrier ne double pas son poids.

Il n’apprend jamais de ses propres verdicts. Apprendre automatiquement à partir d’un seuil paraît efficace et renforce discrètement ses propres erreurs ; une mauvaise décision devient un biais. Uniquement des actions humaines explicites.

Il y a aussi une barrière de démarrage à froid : le classifieur ne note rien avant d’avoir 20 exemples marqués spam et 20 exemples marqués voulus. En dessous, la livraison se comporte exactement comme avant l’existence de la fonctionnalité. La formulation du produit est la plus claire qui soit : il lui faut 20 de chaque avant de commencer à noter, pour que deux clics de travers ne puissent jamais mal étiqueter votre boîte de réception.

Une fois actif, son avis entre comme un signal pondéré et non comme un verdict séparé. Une confiance élevée — 95 pour cent ou plus de probabilité de spam — porte un poids de 4, ce qui suffit à marquer un message comme suspect à lui seul et le classe en Spam dès qu’un second signal se déclenche, le premier contact d’un inconnu étant le plus courant. Une confiance modérée porte un poids de 2 et aiguise ce qui s’est déclenché par ailleurs. Les seuils sont fixes : 3 avertit, 5 classe.

Qu’est-ce qui vérifie encore votre courrier ?

Trois couches autour du classifieur, toutes repliées dans le même score avec les mêmes codes de raison explicables.

Les heuristiques de contenu cherchent l’évitement plutôt que le sujet : du texte HTML caché au lecteur par une taille de police nulle, un positionnement hors écran ou une couleur identique au fond ; des objets qui écrivent des mots ASCII avec des homoglyphes venus de plusieurs alphabets ; des corps réduits à une seule image sans texte lisible ; des liens blanchis par des raccourcisseurs d’URL. Individuellement faibles et délibérément peu pondérées, elles existent pour s’empiler.

Les contrôles de réputation relèvent du choix de l’exploitant et sont désactivés par défaut : une liste noire d’adresses IP au point d’entrée, une liste noire de domaines de liens, et une vérification des domaines d’expéditeur enregistrés dans les 30 derniers jours. Désactivé veut dire désactivé : une configuration non renseignée produit zéro requête DNS. Activées, ces recherches révèlent bien l’adresse de l’expéditeur à l’opérateur de la liste, et c’est exactement pourquoi elles sont à activer soi-même plutôt que fournies par défaut.

L’empreinte de masse mesure la diffusion sans aucun service externe. Le backend normalise un corps de message, le hache, et garde en mémoire une fenêtre d’une heure indiquant quelles empreintes ont touché combien de boîtes distinctes ; au-delà de cinq, les copies suivantes reçoivent un signal de masse. Rien n’est persisté, un redémarrage efface tout, et les listes de diffusion auxquelles vous êtes abonné sont exemptées, parce qu’une liste populaire envoie légitimement des corps identiques à beaucoup de monde.

Au-dessus de tout cela, votre liste d’autorisation gagne. Les signaux côté spam d’un expéditeur autorisé sont annulés d’office. Les signaux de fraude survivent à cette annulation — un DMARC en échec ou un nom d’affichage usurpé tiennent toujours — sinon autoriser sa banque équivaudrait à donner à n’importe qui le droit de s’en réclamer. Bloquer un expéditeur produit un code de raison net plutôt qu’une surcouche silencieuse, pour que le bandeau puisse vous dire que vous avez bloqué cet expéditeur au lieu de vous laisser deviner.

Peut-on voir ce qu’il a appris ?

Oui, et c’est la page que je montrerais à quiconque doute du mot IA employé ici. Réglages puis Spam — accessible depuis le menu contextuel du dossier Spam, puisque c’est là qu’on discute avec le filtre — donne le modèle en train de s’expliquer : les compteurs d’entraînement face à la barrière, la taille du vocabulaire et son penchant, les jetons qui tirent le plus fort vers le spam avec les cotes exactes que le classifieur additionne, la quantité de courrier examinée et classée, la raison de la présence de chaque message actuellement dans Spam, dans les mêmes phrases que le bandeau d’avertissement du lecteur, et un graphique des arrivées sur 30 jours. Trente jours, parce que c’est aussi loin que le dossier Spam lui-même se souvient : la fenêtre ne peut donc pas laisser croire à des données déjà balayées.

Deux invariants tiennent cette page ensemble. Rien de votre courrier n’est stocké ni profilé pour la produire : aucun compteur, aucune ligne de statistiques, aucun cache — c’est l’ouverture de la page qui la calcule, depuis votre propre index et votre propre modèle. Et elle ne présente jamais un décompte partiel comme un total : au-delà d’un plafond de lignes, elle indique quelle tranche elle a comptée.

Un filtre que vous pouvez lire est un filtre que vous pouvez corriger. C’est l’essentiel de l’argument pour le garder dans la boîte.