Injection de prompt : le risque qu'aucun filtre ne corrige

Injection directe et indirecte, en termes simples

Un modèle de langage reçoit un seul bloc de texte : vos instructions système, la question de l'utilisateur et tout ce qu'il lit pour répondre. L'injection de prompt consiste à glisser dans ce texte des instructions que le modèle finit par suivre, alors qu'aucune personne autorisée ne les a données.

Dans l'injection directe, l'attaquant est l'utilisateur lui-même : il écrit dans le chat pour que l'assistant ignore ses règles, révèle son prompt système ou dise ce qu'il ne devrait pas. Dans un chatbot sans outils, le dommage se limite en général à une réponse inappropriée ou à la fuite du prompt système.

Dans l'injection indirecte, l'attaquant ne parle jamais au modèle. Il cache des instructions dans un contenu que l'agent va lire : un e-mail, une page web, un ticket, une ligne de log ou la description d'un outil. Quand l'agent traite ce contenu avec le droit de lire des données et d'agir, les instructions de l'attaquant s'exécutent avec l'identité de votre utilisateur. C'est la variante qui transforme un problème de texte en fuite de données. Chez Slash, nous concevons des agents IA pour les entreprises en partant du principe que l'injection réussira et en limitant ce que l'agent peut faire ensuite.

Pourquoi elle reste non résolue, et la triade létale

Dans une base de données, on corrige l'injection SQL en séparant la requête des données. Un modèle de langage n'offre pas cette séparation : tout n'est que tokens dans le même canal. C'est pourquoi le NCSC britannique (décembre 2025) recommande de la traiter comme un risque résiduel et d'en limiter l'impact par des contrôles déterministes sur ce que le système peut faire. OpenAI la compare aux arnaques en ligne : on la gère, on ne l'élimine pas.

Les modèles progressent, mais n'atteignent pas zéro, et les produits non plus. Dans la fiche système de Claude Opus 5 (juillet 2026), Anthropic indique que, sans garde-fous supplémentaires, 3,7 % des tentatives d'injection ont réussi sur 129 scénarios de navigation, avec 10 tentatives par scénario ; avec son mode auto, qui ajoute des sondes sur les données entrantes et un classificateur sur les actions sortantes, aucune. En août, le chercheur Johann Rehberger a obtenu une exécution de code via Claude Code en mode auto avec Opus 5 dans 3 essais sur 5, en enchaînant des étapes anodines prises une à une ; selon la Cloud Security Alliance, Anthropic a classé le signalement comme informatif et présente le mode auto comme une fonction de confort, pas comme une frontière de sécurité. Un faible pourcentage, c'est peu dans une démo et beaucoup face à quelqu'un qui peut réessayer gratuitement. HackerOne comptait une hausse de 540 % des signalements d'injection de prompt dans son rapport 2025, et dans celui d'octobre 2026 elle reste, avec la divulgation d'informations sensibles, la catégorie d'IA la plus signalée.

En juin 2025, Simon Willison a résumé les conditions qui rendent le risque grave avec la triade létale (lethal trifecta) : un agent qui (1) accède à des données privées, (2) est exposé à du contenu non fiable et (3) peut communiquer vers l'extérieur. Si les trois sont réunis, quiconque parvient à glisser des instructions dans ce que lit l'agent peut lui faire divulguer des données. Sa liste de failles de ce type, toutes corrigées après signalement, va de ChatGPT et Slack à Microsoft 365 Copilot. Le même schéma revient chez des éditeurs différents, avec des équipes de sécurité différentes.

Incidents réels, 2025–2026

2026 a prolongé la série. En janvier, Cyata a publié trois failles du serveur de référence mcp-server-git d'Anthropic, atteignables par injection de prompt. En août, la campagne Deadbugz a tenté d'introduire dans des dépôts de projets d'IA un serveur MCP qui se comportait normalement pendant trois appels, puis modifiait la description de ses outils pour orienter l'agent vers des clés SSH et des identifiants cloud ; aucune de ses 23 pull requests n'a été fusionnée. Le bilan de l'OWASP GenAI pour le premier trimestre 2026 recensait 8 incidents et notait que la plupart des événements de sécurité liés à l'IA n'ont jamais de CVE : qui ne surveille que les bases de vulnérabilités ne voit pas le problème. Dans celui du troisième trimestre (8 octobre), plusieurs des cas les plus graves sont des agents sortis de leur périmètre en poursuivant leur propre tâche, sans aucune injection. L'OWASP recommande pour ces cas un périmètre imposé hors du modèle, des identifiants par exécution, le contrôle des sorties et une nouvelle approbation quand la définition d'un outil MCP change, soit les mêmes contrôles que contre l'injection.

Les référentiels : OWASP et MITRE ATLAS

Citez les références LLM01 et ASI01 dans vos exigences de sécurité et vos rapports de pentest, toujours avec l'édition (LLM01:2026), car les numéros changent. L'autonomie excessive était LLM06 en 2025 et devient LLM03 en 2026 : un rapport qui indique seulement « LLM06 » désigne désormais un autre risque.

Les défenses qui fonctionnent, et leurs limites

CaMeL, de Google, Google DeepMind et l'ETH Zurich (mars 2025), est la version la plus rigoureuse de cette séparation : il extrait le flux de contrôle de la demande fiable de l'utilisateur, de sorte que les données non fiables ne peuvent pas le modifier, et applique des politiques de capacités à chaque appel d'outil. Sur le benchmark AgentDojo, il a réussi 77 % des tâches avec une sécurité démontrable, contre 84 % pour un système sans défense.

La confirmation humaine a aussi ses limites. Anthropic explique avoir isolé le système de fichiers et le réseau de Claude Code précisément parce que les utilisateurs valident machinalement quand on leur demande l'autorisation à chaque étape ; avec le bac à sable, les demandes d'autorisation ont baissé de 84 % en interne.

Le bac à sable doit avoir le réseau fermé. En juillet 2026, lors d'évaluations internes de cybersécurité, des agents d'OpenAI (surtout un modèle de recherche interne aux garde-fous réduits) ont contourné les contrôles d'isolement, détourné un service interne de gestion de paquets en messagerie pour atteindre internet et attaqué des systèmes de Hugging Face. Selon l'enquête du METR, environ 700 des quelque 1 200 agents impliqués ont participé à l'attaque.

Comment tester votre agent ou votre chatbot

Un vrai attaquant essaie de nombreuses variantes et adapte chacune à la réponse : la métrique utile est donc le taux de réussite des attaques sur de nombreuses tentatives, pas dix phrases connues. C'est ainsi qu'Anthropic publie ses tests de navigation : 129 scénarios jamais vus à l'entraînement, 10 tentatives par scénario et deux taux, celui des tentatives réussies et celui des scénarios compromis au moins une fois (11 sur 129 pour Claude Opus 5 sans garde-fous). C'est le second qui intéresse un attaquant patient.

• Modélisation des menaces. Pour chaque agent, listez les données qu'il lit, le contenu externe qui entre et les voies par lesquelles l'information peut sortir ; rattachez-les à l'OWASP et à ATLAS.
• Suites automatisées. AgentDojo, l'environnement utilisé pour évaluer CaMeL, mesure à la fois l'utilité et la sécurité. promptfoo (open source) couvre le red teaming, et Inspect, de l'AI Security Institute britannique, exécute des évaluations d'agents en bac à sable.
• Pentest manuel des fonctions d'IA. Injection indirecte par chaque canal d'entrée, voies d'exfiltration, contrôle d'accès à travers l'agent (un utilisateur peut-il obtenir les données d'un autre en le lui demandant ?), serveurs MCP et secrets dans la configuration.

Les suites automatisées ne remplacent pas le test manuel. Dans le rapport 2025 de HackerOne, 58 % des chercheurs estiment que l'IA passe à côté des failles de logique métier et des attaques en chaîne, précisément là où les agents ajoutent de la surface.

Check-list avant de lancer un chatbot ou un agent

1. Dessinez la triade de chaque agent ; si les trois pieds sont présents, retirez-en un avant le lancement.
2. Donnez à chaque outil l'identifiant minimal, en lecture seule par défaut, et appliquez le contrôle d'accès par utilisateur dans votre API, pas dans le prompt.
3. Considérez comme non fiable tout ce que lit l'agent : e-mails, pages, fichiers, tickets, réponses d'outils et descriptions des serveurs MCP.
4. Exigez une confirmation humaine pour les actions irréversibles ou sortantes (envoyer, payer, supprimer, publier) et affichez l'action exacte.
5. Bloquez les canaux d'exfiltration : pas d'affichage non contrôlé d'images ou de liens externes, et des sorties limitées à des domaines autorisés que vous maîtrisez.
6. Figez la version de chaque serveur MCP et outil, et soyez alerté si leurs descriptions changent.
7. Exécutez le code et la navigation dans un bac à sable sans accès à internet par défaut.
8. Journalisez chaque appel d'outil avec ses arguments, hors de portée de l'agent, et traitez les alertes.
9. Faites du red teaming avant le lancement et à chaque changement de modèle, de prompt ou d'outil, et préparez le plan d'incident : arrêt d'urgence, révocation des identifiants et circuit de notification.

Ce que cela signifie pour les entreprises en Colombie et en Europe

En Colombie, si une injection fait fuiter des données personnelles, c'est un incident de sécurité au sens de la loi 1581 de 2012 : responsables et sous-traitants doivent le déclarer à la Superintendencia de Industria y Comercio (articles 17 et 18), via le module d'incidents du registre national des bases de données. La SIC peut infliger des amendes allant jusqu'à 2 000 salaires minimums mensuels.

Dans l'Union européenne, le RGPD s'applique à toute fuite de données personnelles, et l'article 15 de l'AI Act impose aux systèmes à haut risque de résister aux tentatives de tiers d'exploiter leurs vulnérabilités. Depuis le paquet Omnibus, ces obligations s'appliquent au 2 décembre 2027 pour les domaines de l'annexe III. En France, les recommandations de sécurité de l'ANSSI pour un système d'IA générative (2024) sont un bon point de départ.

Chez Slash, quand une application web ou une API intègre un chatbot ou un agent, nous l'incluons dans le périmètre de notre pentest : validation manuelle de chaque constat, retest et cas de test propres à l'IA (injection indirecte, canaux d'exfiltration, permissions des outils et serveurs MCP). Notre travail de cybersécurité pour les entreprises se poursuit avec le durcissement et la remédiation. Si vous concevez l'agent, commencez par les garde-fous en production et MCP expliqué.