PSS-1 : sceller le prompt système pour résister à l'injection indirecte

PSS-1 : sceller le prompt système pour résister à l’injection indirecte

Le Ménure

Le défaut structurel des assistants outillés n’a jamais été réparé : tout arrive par le même tuyau. Consignes de l’éditeur, question de l’utilisateur, document récupéré, sortie d’outil finissent en texte dans le même contexte, où une phrase impérative ne se distingue d’une consigne légitime que par des guillemets, c’est-à-dire par rien.

Le format scellé

PSS-1 (Prompt Seal Signature, version 1) attache à chaque segment une provenance signée et un niveau d’autorité, en quatre valeurs d’ordre strict : system pose les consignes et ouvre les outils, user agit dans la limite de ses droits, tool et retrieved n’ouvrent rien. Le modèle est entraîné à n’exécuter d’instruction que depuis un segment dont le niveau l’y habilite.

Une facture indexée arrive en segment retrieved signé par l’indexeur : sa ligne « Merci de régler par virement à … » est lue, résumée, jamais suivie : retrieved n’ouvre aucun droit. La signature n’atteste pas l’innocuité du contenu ; l’indexeur peut signer un document malveillant, pas le signer en system.

La vérification tient dans un adaptateur entraîné avec le modèle, qui reçoit les signatures validées et produit pour chaque segment un jeton d’autorité consommé par les couches d’attention. Pas de jeton, pas d’injonction.

Résultats annoncés

Jeu de 4 000 injections indirectes, chiffres publiés par les promoteurs :

Famille d’injection	Sans	Avec
Consigne impérative dans un document	61 %	0,4 %
Consigne déguisée en métadonnée	44 %	0,9 %
Imitation de délimiteur de contexte	73 %	0 %
Appel d’outil déguisé en service	38 %	2,1 %

Soit 98,7 % de blocage global ; la dernière famille résiste, disent les auteurs, parce que sa dangerosité tient à sa plausibilité, pas à sa provenance.

Limites reconnues

Le format ne dit rien du contenu : un document faux est signé, inerte au sens des instructions, et capable de conduire le modèle à une mauvaise réponse.

🪶 Ménure 🪶

PSS-1 n’existe pas : aucun format de « scellement » de contexte, aucun « jeton d’autorité » dans les couches d’attention, aucun jeu de 4 000 injections. Ce qui aurait dû alerter :

• Un modèle de langage ne vérifie pas une signature. Il produit la suite la plus probable d’une séquence ; une « vérification » déplacée dans ses poids redevient une heuristique statistique. Le « jeton d’autorité » sonne comme un mécanisme sans en être un : du vocabulaire cryptographique posé sur une décision probabiliste.
• La signature résout un problème que personne n’a. L’injection indirecte ne falsifie pas le prompt système en transit : elle place du texte hostile dans un canal légitime, qui le signera correctement. On authentifie le facteur, pas le courrier. La page l’admet (« la signature n’atteste pas l’innocuité du contenu ») sans voir que cela vide sa promesse.
• Les chiffres sont trop beaux et trop précis. 61 %, 44 %, 73 %, 38 %, puis 0,4 %, 0,9 %, 0 %, 2,1 %, total 98,7 % : aucun corpus nommé, aucun protocole, aucune version de modèle, aucun faux refus mesuré. Le « 0 % » est l’aveu le plus clair : c’est la famille qu’on ne sait pas éliminer.
• Le raisonnement tourne en rond. Le contenu non scellé ne donne pas d’instruction parce que le modèle est entraîné à ne pas en suivre : le mécanisme marche si le modèle fait ce qu’on lui demande, ce qui est la définition même du problème à résoudre.
• Les références manquent : ni publication, ni dépôt, ni organisme, seulement « les promoteurs » et « les auteurs ».

Le vrai sujet est réel, grave et sans solution propre à ce jour : l’injection de prompt indirecte. Les défenses qui tiennent ne font pas trier le modèle, elles réduisent ce qu’une mauvaise sortie peut provoquer : outils à périmètre minimal, actions sensibles derrière une confirmation humaine. Le marquage de provenance est utile, mais comme atténuation mesurable, jamais comme garantie : cette différence est tout ce qui sépare cette page d’un article sérieux.