Injection de prompt : le risque de sécurité qui vient avec l’accès d’un agent IA à du contenu externe

Donner à un agent IA l’accès aux emails, aux pages web ou aux documents partagés le rend réellement utile — et ouvre une faille de sécurité spécifique, sans équivalent dans le logiciel traditionnel : l’agent ne peut pas toujours distinguer une instruction venant de son opérateur d’une instruction cachée dans le contenu qu’on lui demande de traiter. Si une page web, un email ou un PDF contient un texte conçu pour ressembler à une commande, un agent qui le lit peut suivre cette commande au lieu de — ou en plus de — sa tâche réelle.

Ce que la recherche a démontré

Ce risque a été formellement documenté dans Not what you’ve signed up for: Compromising Real-World LLM-Integrated Applications with Indirect Prompt Injection (2023), par Kai Greshake et ses coauteurs, qui ont montré qu’un attaquant n’a pas besoin d’un accès direct au prompt d’un modèle pour détourner le comportement d’un agent — glisser des instructions dans un contenu que l’agent va probablement récupérer (une page web, un document, un résultat de recherche) suffit, car l’agent traite le contenu récupéré et les instructions directes par le même canal, sans moyen fiable de les distinguer.

Ce que ça change pour un agent doté de vrais droits

Le risque grandit avec ce que l’agent est autorisé à faire. Un agent qui se contente de rédiger un résumé qu’une personne relira est une cible à faible enjeu ; un agent capable d’envoyer un email, de déplacer un fichier ou de déclencher un paiement de sa propre initiative en est une à forte valeur — une injection réussie peut transformer une tâche de routine en action non autorisée exécutée avec les identifiants propres de l’agent. C’est une question de conception et de gouvernance, pas quelque chose qu’un modèle plus intelligent résout tout seul : aucun agent connu publiquement n’en est immunisé, la garde-fou doit donc se situer autour de l’agent, pas seulement à l’intérieur.

• →Appliquez le moindre privilège par défaut : un agent qui lit du contenu externe ne devrait pas détenir en même temps le droit d’agir de façon irréversible (envoyer, supprimer, payer, publier) sans une étape de confirmation humaine distincte.
• →Traitez tout texte récupéré hors de l’entreprise (pages web, emails entrants, documents téléversés) comme une entrée non fiable, pas comme des instructions — la même discipline que la validation des entrées utilisateur en logiciel traditionnel.
• →Journalisez ce que l’agent a lu et l’action qu’il a prise comme deux événements distincts et auditables, pour pouvoir remonter d’une action inhabituelle au contenu qui l’a peut-être déclenchée.

Rien de tout cela ne veut dire qu’il faut éviter les agents qui naviguent ou lisent du contenu externe — cela veut dire que le droit d’agir ne devrait jamais être accordé au même niveau de confiance que le droit de lire.