Des garde-fous qui fonctionnent : classificateurs, politiques et modération en production

Sept couches, pas un filtre

Chaque couche attrape une défaillance différente ; ensemble, elles couvrent ce qu'aucun modèle ne couvre seul.

Les couches 5 et 7 ne dépendent d'aucun modèle, et c'est pourquoi elles tiennent quand les autres cèdent. Le NCSC britannique dit la même chose de l'injection de prompt : la traiter comme un risque résiduel et en limiter l'impact par des contrôles déterministes, sans LLM.

Les modèles de garde disponibles en septembre 2026

À noter : « modèle de garde » recouvre des métiers différents. Prompt Guard 2 et Prompt Shields cherchent des attaques dans les entrées, ShieldGemma 2 modère des images, NeMo Guardrails orchestre d'autres modèles et les autres jugent un contenu au regard d'une politique. Chaque fiche liste aussi ses limites, de l'évaluation en anglais seul à une fiabilité moindre face aux entrées obscurcies.

Classificateurs à politique dans le prompt : un atout en français et en espagnol

Les modèles de garde classiques embarquent une taxonomie fixe dans leurs poids, comme les 14 catégories de risque de Llama Guard 4. Les classificateurs à politique dans le prompt (gpt-oss-safeguard, Shieldstral et le mode « apportez vos propres critères » de Granite Guardian) lisent votre politique en langage naturel au moment de l'inférence, à côté du contenu à juger. Changer de politique revient à modifier un texte, pas à collecter des données annotées et à réentraîner.

L'équipe juridique ou conformité propriétaire de la politique peut la rédiger dans la langue de l'entreprise, avec ses propres exemples : ce qui relève du conseil financier pour une banque colombienne, ou d'une allégation médicale pour un assureur français. Un seul modèle l'applique à tous les produits, et chaque changement est versionné et vérifiable.

Deux précautions. La précision dépend de la formulation : Google prévient que ShieldGemma 2 est très sensible à la rédaction des principes de sécurité. Et raisonner coûte : gpt-oss-safeguard propose un effort bas, moyen ou élevé, et Granite Guardian 4.1 un mode avec ou sans raisonnement ; d'où une cascade : un classificateur rapide en une passe d'abord, puis le juge qui raisonne pour les seuls contenus signalés ou ambigus.

Mesurer sur votre propre jeu annoté

Les chiffres des éditeurs disent qu'un modèle est plausible ; seules vos données disent s'il fonctionne.

Construisez le jeu à partir du trafic réel, dans chaque langue : demandes clairement autorisées, clairement interdites et surtout les cas limites, là où naissent les refus excessifs. Les benchmarks publics aident à l'amorcer (XSTest et OR-Bench pour les refus excessifs, SORRY-Bench pour les demandes dangereuses), mais ils sont surtout en anglais et ne connaissent pas votre politique.

Les chiffres des éditeurs montrent les arbitrages. Meta annonce 97,5 % de rappel pour 1 % de faux positifs avec Prompt Guard 2 86M. Les premiers Constitutional Classifiers d'Anthropic ont fait passer le succès des jailbreaks de 86 % à 4,4 % dans ses tests, pour 23,7 % de calcul et 0,38 point de refus en plus ; la cascade de 2026 a ramené les refus inutiles à environ 0,05 % et le surcoût à environ 1 %. Des repères utiles, mais aucun ne mesure votre politique dans vos langues : c'est le rôle de vos propres évaluations.

Ce que montre la recherche sur les jailbreaks

Quatre résultats, décrits au seul niveau conceptuel.

• Le many-shot jailbreaking (Anthropic, 2024) remplit un long contexte de faux dialogues où un assistant obtempère. Les réponses nuisibles augmentent avec le nombre d'exemples, et les plus grands modèles se sont montrés plus vulnérables. Entraîner le modèle à résister n'a fait que retarder l'effet ; classer et réécrire le prompt en amont a fait chuter le succès de l'attaque de 61 % à 2 % dans un test interne.
• Best-of-N (2024) renvoie une requête avec des variations de surface aléatoires jusqu'à ce que l'une passe, sans accès à l'intérieur du modèle. Avec assez d'essais, les auteurs rapportent 89 % de succès sur GPT-4o et 78 % sur Claude 3.5 Sonnet, et la méthode a aussi franchi des défenses comme les circuit breakers.
• Crescendo (Microsoft, 2024) monte en puissance sur plusieurs tours, chacun anodin pris isolément : 98 % de succès contre GPT-4 et 100 % contre Gemini Pro dans les tests de ses auteurs.
• Les bug bounties montrent ce qu'apportent les couches. Lors du défi d'Anthropic de février 2025, 339 chercheurs ont envoyé plus de 300 000 messages et un seul a trouvé un jailbreak universel. Contre le système de 2026, quelque 198 000 tentatives n'en avaient trouvé aucun en janvier 2026, avec des primes jusqu'à 35 000 $.

La leçon : le contexte long bat un modèle entraîné à la sécurité, l'échantillonnage répété bat un classificateur statique et l'escalade sur plusieurs tours bat le filtrage message par message. Classez des conversations entières, limitez le débit, surveillez les rafales de tentatives presque identiques et gardez des couches qui ne dépendent d'aucun modèle.

Deux architectures de référence

Un chatbot client risque surtout de mauvaises réponses ; un agent interne, de mauvaises actions.

Pour les agents, aucun classificateur ne remplace la limitation des capacités : un agent incapable d'envoyer un e-mail ne peut pas être manipulé pour exfiltrer des données par ce canal. D'autres patterns dans injection de prompt et sécurité des agents et les agents d'IA en production.

Ce que cela signifie pour les entreprises en Colombie et en Europe

Langues. Confrontez la couverture de chaque modèle de garde à votre trafic réel : Llama Guard 4 et Shieldstral incluent le français et l'espagnol, Qwen3Guard annonce 119 langues, et Granite Guardian 4.1 et ShieldGemma 2 ont été entraînés sur des données en anglais. Mesurez en français et en espagnol colombien, avec argot, fautes de frappe et mélange de langues, pas sur des benchmarks traduits.

Résidence des données. La plupart des modèles de garde ouverts sont sous Apache 2.0 et tournent sur votre propre infrastructure : le contenu filtré n'en sort pas. Leurs journaux contiennent les textes les plus sensibles de votre système : en Colombie ils relèvent de la loi 1581 de 2012, dans l'UE du RGPD, avec des règles de conservation et d'accès adaptées.

Réglementation. Dans l'UE, l'article 50 de l'AI Act impose depuis le 2 août 2026 d'informer les personnes qu'elles interagissent avec un système d'IA. À partir du 2 décembre 2026, un générateur d'images ou de vidéos capable de produire de façon prévisible et reproductible des images intimes non consenties ou des contenus pédocriminels doit disposer de garde-fous qui l'en empêchent de façon fiable, sous peine de tomber sous les nouvelles interdictions : les garde-fous deviennent alors une obligation légale. Détails dans notre carte réglementaire 2026.

Check-list de lancement

1. Rédigez la politique : périmètre, définitions, exemples autorisés et interdits par langue, responsable et version.
2. Constituez un jeu annoté à partir du trafic réel, cas limites compris, dans chaque langue servie.
3. Choisissez les modèles de garde sur leurs erreurs, latence et coût mesurés, pas sur les tableaux des éditeurs.
4. Placez d'abord un classificateur d'entrée léger et traitez tout contenu récupéré comme non fiable.
5. Classez les sorties selon la même politique, avec une action définie par verdict : autoriser, réécrire, bloquer ou transférer.
6. Donnez aux outils de l'agent le moindre privilège et exigez une confirmation pour les actions irréversibles.
7. Journalisez entrées, sorties, verdicts et versions de modèle selon une politique de conservation ; alertez sur les rafales de tentatives et les conversations qui escaladent.
8. Faites du red teaming avant le lancement, attaques sur plusieurs tours et à nombreuses tentatives comprises, puis après chaque changement de modèle ou de politique.
9. Revoyez chaque semaine refus et blocages, et réinjectez les erreurs dans le jeu annoté.