Risque architectural lié à l’injection de prompts

La phrase la plus effrayante en sécurité de l’IA n’est pas tapée par un attaquant en sweat à capuche. Elle est tapée par un régulateur, calmement, dans une note d’orientation : vous ne pouvez pas corriger cela à l’intérieur du modèle. Quelque part, un ingénieur prompt vient de renverser son café sur une liste plastifiée de mots magiques. C’est l’élément utile dans la nouvelle façon dont l’Australian Signals Directorate présente l’injection de prompt pour l’IA agentique. L’ASD ne traite pas l’injection de prompt comme un test unitaire capricieux, un bug de plus à écraser avant le jour de la démo. Elle montre du doigt la forme même du système, ce qui est beaucoup moins rassurant et beaucoup plus exploitable.

L’ASD déplace la correction hors du modèle

Selon iTnews, l’ASD a publié de nouvelles recommandations destinées aux entreprises, indiquant qu’une faiblesse de sécurité centrale dans l’IA agentique ne peut pas être résolue à l’intérieur du modèle. La recommandation de l’agence, telle que rapportée par iTnews, est que l’atténuation doit se situer dans la couche logicielle qui entoure les modèles. InfoSec Today a résumé le même point central : cette faiblesse n’est pas quelque chose que les mécanismes internes du modèle peuvent éliminer définitivement ; les concepteurs ont donc besoin de contrôles autour du modèle plutôt que d’incantations héroïques dans les prompts.

C’est important parce que le risque augmente lorsque les LLM sont connectés à des outils, des magasins de données et des actions de flux de travail. Un chatbot qui écrit un mauvais haïku, c’est embarrassant. Un agent qui lit des instructions hostiles dans un document puis utilise un outil approuvé avec des privilèges excessifs, c’est un Roomba avec une carte de crédit d’entreprise.

Pourquoi des prompts plus malins finissent par buter contre un mur

L’analyse ArcticDBA d’Alexander Arvidsson explique l’obstacle architectural en termes simples : les prompts système, les messages utilisateur et les documents récupérés circulent tous dans la même fenêtre de contexte sous forme de tokens. Autrement dit, le modèle reçoit des instructions et du contenu potentiellement hostile par le même canal général. Cela ressemble moins à un classeur verrouillé qu’à un mot de passe écrit sur un post-it, puis à une demande faite au post-it de se comporter de manière éthique.

Nilesh Barla, chez Adaline, formule le point complémentaire : l’injection de prompt ne se corrige pas avec de meilleurs prompts, car la surface d’attaque se trouve dans la couche des outils. L’analyse d’Arun Baby soutient de même que les filtres ne suffisent pas, car les LLM traitent les instructions fiables et les données non fiables dans le même flux de tokens. Les défenses qu’Arun Baby identifie comme plus solides sont architecturales, notamment la séparation des privilèges, l’isolation dirigée par les types et le spotlighting.

C’est ici que la conversation devient, heureusement, moins mystique. La leçon pratique n’est pas d’arrêter d’utiliser des agents. C’est d’arrêter de faire comme si un prompt système plus long était à la fois une ceinture de sécurité, un airbag et un code de la route.

La recherche converge vers le confinement

Ciphers Security a rapporté qu’un article soumis à arXiv le 17 mai 2026 par Sahar Abdelnabi et Eugene Bagdasarian examine pourquoi les agents IA pourraient toujours être vulnérables aux injections de prompt. L’article arXiv, AI Agents May Always Fall for Prompt Injections, affirme que les défenses existantes de séparation entre données et instructions peuvent manquer des manipulations contextuelles et peuvent aussi dégrader un comportement pourtant approprié au contexte. Voilà le compromis pénible : resserrez trop les règles et le travail utile se casse ; desserrez-les et un adversaire peut faire passer un mauvais flux pour légitime.

Ce n’est pas un tout nouveau gremlin sorti hier du rack de GPU. L’ancien article arXiv Prompt Injection: Parameterization of Fixed Inputs montre que le problème suit une piste de recherche formelle depuis des années. Si un argumentaire commercial présente l’injection de prompt comme un désagrément tout juste découvert et résolu par de la poudre de fée propriétaire, vérifiez la bibliographie avant de vérifier la facture.

L’article arXiv de 2026 reformule le problème à travers l’intégrité contextuelle, une théorie de la vie privée qui s’intéresse à la question de savoir si les flux d’information respectent les normes du contexte. Ce cadre est utile parce que les agents prennent de plus en plus de décisions en fonction du contexte, et pas seulement de chaînes de caractères statiques. Le plus difficile n’est pas de repérer l’expression ignore les instructions précédentes ; c’est de reconnaître quand une demande apparemment raisonnable fait entrer en douce la mauvaise autorité, le mauvais objectif ou le mauvais flux.

Ce que les concepteurs devraient faire maintenant

Pris ensemble, les recommandations de l’ASD rapportées par iTnews et la littérature de recherche pointent vers le confinement. Donnez aux agents le strict minimum d’accès aux outils dont ils ont besoin, séparez autant que l’architecture le permet les instructions fiables du contenu non fiable, exigez une revue humaine pour les actions à fort impact, et surveillez l’utilisation des outils comme si elle appartenait à un employé junior très enthousiaste. Non pas parce que l’employé junior est malveillant, mais parce qu’on peut le convaincre que le photocopieur est une stratégie de migration de base de données.

Pour les équipes produit, la question immédiate n’est pas de savoir si un LLM peut être rendu parfaitement obéissant. C’est de savoir ce qui se passe lorsqu’il ne l’est pas. Concevez des systèmes de sorte qu’une mauvaise instruction rencontre des frontières de permissions, des journaux, des points de revue et des outils à périmètre limité avant de toucher à l’argent, aux données client ou aux flux de production.

Pour les lecteurs qui construisent avec des agents, l’avertissement de l’ASD est une invitation à s’éloigner de la superstition des prompts pour se rapprocher de l’ingénierie de sécurité. Le modèle n’est pas le château. C’est le stagiaire très persuasif qui tient les clés.