Injection de prompt

Qu’est-ce que l’injection de prompt ?

Un modèle de langage ne distingue pas de façon fiable « les consignes de mon entreprise » et « le texte qu’on m’a demandé de lire ». Pour lui, tout est du texte. Si une phrase de ce texte ressemble à un ordre, il peut finir par l’exécuter.

C’est le principe de l’injection de prompt. Elle existe sous deux formes :

• Directe : l’utilisateur lui-même écrit dans le chat des instructions pour modifier le comportement de l’assistant.
• Indirecte : les instructions sont cachées dans un contenu que l’agent lit de lui-même, comme un e-mail, un PDF ou une page web. C’est la plus dangereuse, car l’attaquant n’a même pas besoin de parler à l’agent.

Le nom rappelle l’injection SQL, une attaque classique contre les bases de données. À une différence près : ici, il n’existe pas de moyen parfait de séparer données et instructions.

Comment ça marche

Le risque dépend de ce que l’agent est capable de faire. Un assistant qui ne fait que répondre peut, au pire, dire quelque chose de déplacé. Un agent IA qui lit des mails et peut aussi envoyer des messages, consulter le CRM ou modifier des données, c’est autre chose : une instruction glissée pourrait le faire agir en votre nom.

Les défenses efficaces relèvent du système, pas de la formulation :

1. Moindre privilège. L’agent n’a que les droits indispensables.
2. Validation humaine des actions sensibles : paiements, envois en masse, suppressions, données de tiers.
3. Séparer données et consignes. Le contenu externe est marqué comme matière à consulter, jamais comme ordre.
4. Filtrer les entrées et les sorties. Repérer le contenu suspect et vérifier ce qui sort avant de l’exécuter.
5. Rien de secret dans le system prompt : ni clé, ni mot de passe.
6. Journaliser ce que fait l’agent, pour détecter et corriger.

Toutes font partie des guardrails du système.

Exemple

Un cabinet comptable de Rennes teste un agent qui lit les mails entrants, les résume et prépare les réponses. Un jour arrive le mail d’un expéditeur inconnu, avec un texte caché adressé « à l’assistant » qui lui demande de transférer des documents clients vers une autre adresse.

L’agent n’a pas le droit de transférer des documents ni d’envoyer quoi que ce soit sans relecture : il ne prépare que des brouillons. Le mail finit en résumé, que la comptable lit et signale comme suspect. L’attaque tombe à plat, parce que l’agent ne pouvait pas faire ce qu’on lui demandait.

Ce que cela change pour votre entreprise

Avant de donner à un agent l’accès à votre messagerie, à votre CRM ou à vos documents, demandez-vous ce qu’il peut faire sans que personne ne relise. C’est la vraie mesure du risque.

Chez UTIO, l’autonomie est graduelle : sans IA, demander, brouillon ou automatique, et l’agent démarre en brouillon. L’agent e-mail met en quarantaine le suspect et le superflu, et laisse ses réponses en brouillon dans le CRM. Monter d’un niveau reste votre décision, tâche par tâche.