L'injection de prompt indirecte en une page
On a donné à un programme le droit de lire votre courrier et d’en envoyer, puis on s’étonne qu’il fasse ce que le courrier lui demande : c’est pourtant le seul employé qui lise vraiment ses courriels jusqu’au bout.
L’essentiel
Section intitulée « L’essentiel »- Directe ou indirecte. L’injection directe est tapée par l’utilisateur lui-même dans la conversation. L’indirecte arrive par un contenu que l’agent lit pour son compte (courriel, page web, document, résultat d’outil) et vise l’utilisateur, qui n’a rien écrit de mal. L’OWASP range les deux sous la même entrée, LLM01:2025 Prompt Injection, en tête de son Top 10 for LLM Applications 2025.
- Données et instructions voyagent dans le même flux. Le modèle reçoit consigne système, demande et contenus lus comme une seule suite de jetons. Rien, dans sa structure, ne marque une phrase comme « à exécuter » et une autre comme « à résumer » : il infère l’intention, et une phrase impérative bien placée ressemble beaucoup à une intention.
- Le texte caché ne l’est que pour l’humain. Blanc sur blanc, police minuscule, commentaire HTML, texte alternatif d’image : l’œil n’y voit rien, l’agent lit tout.
- Le risque se mesure aux outils, pas au modèle. Un modèle sans outil qui se fait manipuler écrit une bêtise. Un agent qui peut lire une boîte, envoyer des messages ou appeler une adresse web exfiltre des données ou agit à votre place. Ses droits sont le rayon d’explosion.
- Les parades coupent la chaîne en aval : outils au moindre privilège, confirmation humaine avant toute action sortante, liste d’autorisation des destinations, séparation et marquage des contenus non fiables, et un agent qui a lu du contenu externe ne garde pas les mêmes droits qu’avant.
- Pas de solution complète à ce jour. L’OWASP le dit sans détour : on ne sait pas si une prévention infaillible existe. On ne promet donc pas que l’agent ne sera jamais trompé ; on s’arrange pour qu’une fois trompé, il ne puisse pas grand-chose.
Pour aller plus loin : L’injection de prompt n’est pas un bug · Sécuriser les actions irréversibles des agents LLM · Sécuriser un corpus RAG contre l’injection indirecte · Exfiltration par rendu Markdown dans un chat IA · Le moindre privilège pour une machine qui improvise · Faille chatbot Chevrolet 2023, Tahoe à 1 dollar et injection.
À lire aussi
- L'empoisonnement d'un RAG en une pageComment un document piégé glissé dans le corpus finit cité, ou obéi, par l'assistant qui le retrouve, en cinq étapes animées, avec les parades qui coupent la chaîne.
- Gardien IA pour LLM, fonctionnement, exemples et choix de produitCe qu'est un gardien en IA (modèle de garde placé autour d'un LLM), comment il filtre entrées, sorties et actions d'agent, ce qu'il ne garantit pas et quel produit retenir selon l'architecture.
- Guardrails programmatiques pour assistant IA de productionArchitecture de garde-fous programmatiques pour un assistant IA en production, au-delà du prompt système et du contrôle d’accès.
- OWASP Top 10 ASVS ZAP et sécurité applicativePrésentation de l’OWASP, de son mandat communautaire, de ses référentiels de sécurité applicative et de leur exploitation en architecture.
Pages voisines
La citent
L'injection de prompt indirecte en une page
Elle cite