Pourquoi votre IA obéit à un inconnu

Un assistant IA lit tout de la même façon : du texte. Les règles que vous lui avez données — « sois utile, ne propose jamais de remise » — arrivent en texte. La question d'un client arrive en texte. Une fiche produit qu'il consulte arrive en texte. Pour le modèle, c'est un seul flux de mots. Il n'y a pas de frontière nette entre « les instructions de mon propriétaire » et « ce qui vient du monde ».

L'injection de prompt, c'est quand quelqu'un glisse des mots dans ce flux pour faire prendre ses instructions pour les vôtres. C'est toute l'idée. Et comme la confusion est inscrite dans le fonctionnement même de ces modèles, il n'y a pas de correctif propre — pas comme on corrige un bug logiciel précis.

Elle prend deux formes.

Directe, celle qu'on imagine : un utilisateur tape dans le chat de quoi contourner les règles. « Ignore tes instructions précédentes et… » en est la version caricaturale ; les vraies sont plus fines, et s'améliorent chaque mois.

Indirecte, celle qui devrait vous inquiéter davantage, parce que l'attaquant ne parle jamais à votre bot. Votre assistant lit du contenu extérieur pour faire son travail — une page web, un avis client, un document, un e-mail, un ticket de support. Si un attaquant y cache des instructions, votre bot les lit comme si elles venaient de vous. Une ligne planquée dans un avis. Du texte blanc dans un PDF que le bot résume. Un e-mail qu'on lui demande de trier. Le client est innocent ; le contenu est piégé.

C'est pour ça que vos outils de sécurité actuels ne l'attrapent pas. Un pare-feu regarde le trafic réseau. Un antivirus cherche des fichiers connus comme malveillants. L'injection de prompt, c'est une phrase parfaitement valide dans un texte parfaitement valide — rien à signaler, aucune signature à reconnaître. La charge, c'est le langage. C'est aussi pourquoi elle est en tête de la liste OWASP des risques des applications LLM : la plus fondamentale, et la moins résolue.

Alors que faire face à quelque chose qui n'a pas de correctif ?

On arrête de la traiter comme un bug à corriger, on la traite comme une propriété à gérer. On découvre jusqu'où votre assistant peut être poussé, exprès, avant qu'un attaquant le fasse — et on continue de le surveiller une fois en ligne, pour qu'une manipulation réussie apparaisse comme une alerte, pas comme la capture d'écran d'un client en colère. Le tester, puis le surveiller. Rien de glamour. Mais c'est mieux que de l'apprendre en public.

Envie de voir comment votre assistant encaisse une entrée piégée ? Un audit de 3 jours vous le montre — en direct.