Avis sur Gemma Guard : détection de phishing sur l'appareil pour Android

Un SMS de phishing convaincant ne s'annonce pas. Il emprunte le logo d'une banque, copie le libellé d'une vraie alerte de compte et ajoute juste assez d'urgence pour que vous appuyiez avant de réfléchir. Ce décalage entre la lecture d'un message et l'action est là où la plupart des arnaques réussissent, et c'est précisément le moment que Gemma Guard tente d'interrompre.

Gemma Guard est une application Android gratuite qui vérifie tout ce qui apparaît sur votre écran pour détecter les signes de phishing. Appuyez sur un bouton flottant, et l'application capture l'écran actuel, lit le texte visible et fait passer l'image et le texte dans le modèle Gemma 4 de Google qui s'exécute localement sur le téléphone. Quelques secondes plus tard, vous obtenez un verdict : un niveau de risque, un score de confiance, les raisons spécifiques de l'évaluation et une recommandation claire sur la marche à suivre. Rien n'est téléchargé et il n'y a pas de compte à créer.

Ce qu'il fait réellement

Le flux de travail est délibérément court, car il doit fonctionner dans un moment de forte tension. Un bouton de déclenchement discret flotte au-dessus de n'importe quelle application dans laquelle vous vous trouvez. Appuyez dessus et trois choses se produisent en séquence : MediaProjection d'Android prend une capture d'écran complète de l'écran actuel, ML Kit exécute l'OCR sur cette image pour extraire le texte et les liens visibles, puis la capture d'écran et le texte extrait sont transmis ensemble à Gemma 4 via LiteRT-LM pour analyse.

Le résultat est conçu pour être lu par quelqu'un qui n'est pas un expert en sécurité. Les développeurs donnent un exemple : un faux message PayPal affirmant qu'un compte est bloqué et vous incitant à le vérifier sur un domaine quasi identique. Gemma Guard renvoie un niveau de risque ÉLEVÉ à 87% de confiance, puis liste les raisons : langage urgent, demande d'identifiants, usurpation de marque et un lien au format suspect. La recommandation est franche et utile : ne répondez pas et ne payez pas, et vérifiez via l'application officielle ou un contact de confiance.

Pourquoi le traitement sur l'appareil est important

La plupart des défenses anti-phishing grand public vivent soit dans un seul navigateur, soit envoient le contenu de votre écran à un serveur pour notation. L'argument principal de Gemma Guard est à l'opposé : l'analyse s'exécute sur le téléphone, de sorte que les captures d'écran et les messages personnels ne quittent jamais l'appareil. Sa section sécurité des données sur Google Play indique qu'aucune donnée n'est collectée et qu'aucune n'est partagée avec des tiers, ce qui est cohérent avec une conception hors ligne plutôt qu'avec une affirmation marketing plaquée sur un service cloud.

Il y a une raison pratique de fournir à Gemma à la fois l'image et le texte plutôt que le texte seul. Les escrocs s'appuient sur des astuces visuelles — logos falsifiés et mises en page copiées — qu'un scanner de texte seul ne voit jamais. Exécuter un modèle multimodal localement signifie que l'application peut peser la fausse marque dans une image aux côtés de la phrase de collecte d'identifiants en dessous, sans aller-retour réseau. Cela signifie également que l'outil continue de fonctionner dans des situations de faible connectivité ou dans des endroits où les services cloud sont bloqués ou peu fiables, ce qui constitue un avantage réel par rapport aux extensions de navigateur et aux vérificateurs en ligne.

Pour qui est-il conçu

Gemma Guard est inhabituellement clair sur son utilisateur cible, et cette clarté se voit dans la conception. Il a été créé par Milana et Pavel Kerbel après que la mère de Milana, qui a presque 70 ans, a été piégée par un message de phishing malgré une lecture attentive. Le bouton flottant existe parce que prendre une capture d'écran sur un téléphone Android moderne n'est pas évident pour quelqu'un qui n'a pas grandi avec, et le partage en un seul appui existe pour qu'un parent prudent puisse envoyer un résultat d'analyse à ses enfants et dire qu'il a vérifié d'abord.

Ce positionnement fait que le profil naturel est celui des personnes âgées et des autres utilisateurs non techniques qui veulent un deuxième avis rapide, et des personnes qui les aident à rester en sécurité. Cela fonctionne avec les SMS, WhatsApp, Telegram, les e-mails, les applications sociales et n'importe quel navigateur, donc ce n'est pas lié à un seul canal de messagerie. L'interface et les explications sont disponibles en anglais et en russe, avec l'application s'adaptant à la langue de l'appareil. Si vous êtes à l'aise pour repérer un domaine usurpé par vous-même, vous n'êtes pas la cible, bien que la détection d'arnaques visuelles puisse encore vous surprendre.

Ce qu'il faut peser avant de s'y fier

La mise en garde honnête est la maturité. Gemma Guard est une première version publique, construite pour le Gemma 4 Good Hackathon, et Google Play le montre toujours dans la tranche des 10+ téléchargements. Le code est open source sous licence CC BY 4.0, ce qui est bien pour la vérifiabilité, mais le dépôt GitHub est petit et récent. Il n'y a pas encore d'avis indépendants de tiers, donc les affirmations sur la précision reposent sur les propres exemples des développeurs plutôt que sur des tests extérieurs. Traitez-le comme un outil prometteur à ses débuts, pas comme un produit de sécurité éprouvé avec un historique.

Deux choses découlent de la conception qu'un utilisateur devrait garder à l'esprit. Premièrement, l'application a besoin de permissions importantes pour faire son travail : la capture d'écran et la possibilité de s'afficher par-dessus d'autres applications. C'est raisonnable pour ce qu'elle fait, mais ce sont exactement les permissions qu'un utilisateur prudent est formé à se méfier, donc la confiance doit venir du code open source et du traitement sur l'appareil. Deuxièmement, tout verdict d'IA est un jugement, pas une garantie. Un score de confiance peut être erroné dans les deux sens, donc l'outil est mieux traité comme une invitation à ralentir et à vérifier plutôt que comme le dernier mot. Il est uniquement Android, sans version iOS.

Dans l'ensemble, c'est un 4 sur 5 pour son public cible : une approche réfléchie et axée sur la confidentialité face à un vrai problème, freinée pour l'instant uniquement par sa précocité. Si vous vous occupez d'un parent ou d'un proche qui est une cible probable de phishing, il vaut la peine de l'installer sur leur téléphone et de les guider à travers l'analyse en un appui. Si vous voulez qu'il soit bien rodé d'abord, il est raisonnable d'attendre une base d'utilisateurs plus large et un examen extérieur.

Sources consultées

• Page d'accueil de Gemma Guard — description du produit, flux de travail, contexte de l'équipe et cas d'utilisation
• gemma-guard-android sur GitHub — pile technique (MediaProjection, ML Kit, LiteRT-LM), exemple de résultat, licence et activité du dépôt
• Gemma Guard sur Google Play — tranche de téléchargements, permissions, déclarations de sécurité des données, prise en charge des langues et statut de lancement